Reykjavík, 10. júní 2021

Tilvísun: 2020041404/ÞS

Efni: Svar við ósk um breytingar á nýju starfsleyfi og frestun á gildistöku þess

Persónuvernd vísar til samskipta stofnunarinnar og Creditinfo Lánstrausts hf. í framhaldi af útgáfu nýs starfsleyfis hennar til fyrirtækisins, dags. 3. maí 2021, til vinnslu upplýsinga um fjárhagsmálefni og lánstraust í því skyni að miðla þeim til annarra, en leyfið tók gildi 10. s.m. Að ósk fyrirtækisins var 11. s.m. haldinn með því fundur þar sem komið var á framfæri tilteknum athugasemdum við Persónuvernd. Var þessum athugasemdum lýst nánar í bréfum, dags. 14. og 19. s.m., en í því síðarnefnda var jafnframt farið fram á frestun á gildistöku leyfisins til 1. október 2021 þannig að eldri leyfisskilmálar yrðu enn í gildi um sinn. Í því sambandi áttu sér stað tölvupóstsamskipti milli Persónuverndar og fyrirtækisins 20. og 21. maí s.á. þar sem stofnunin óskaði frekari rökstuðnings fyrir frestun á gildistöku. Kom þá fram af hálfu fyrirtækisins að ef ekki yrði fallist á frestun á gildistöku leyfisins til 1. október 2021 væri farið fram á frestun til 1. júlí s.á.

Verður hér á eftir farið yfir einstakar óskir Creditinfo Lánstrausts hf. um breytingar á leyfisskilmálum, svo og ósk um frestun á gildistöku, og afstöðu Persónuverndar til þeirra lýst.

1.

Ósk um breytingu á 2. mgr. ákvæðis 5.3

1.1.

Sjónarmið Creditinfo Lánstrausts hf.

Í 2. mgr. ákvæðis 5.3 í nýju starfsleyfi er að finna þá reglu að upplýsingar, sem hafa verið afskráðar af skrá um fjárhagsmálefni og lánstraust, geti haft áhrif við gerð skýrslna um lánshæfi í eitt ár frá afskráningunni. Samkvæmt eldri leyfisskilmálum, sbr. nú síðast 2. mgr. ákvæðis 2.7 í leyfi frá 29. desember 2017 (mál nr. 2017/1541), gátu slík áhrif hins vegar varað í þrjú ár, þó að hámarki þar til fjögur ár voru liðin frá skráningu upplýsinga.

Tekið er fram í þessu sambandi í bréfi Creditinfo Lánstrausts hf. frá 14. maí 2021 að í þeim löndum sem jafnan séu höfð til samanburðar við Ísland séu heimildir til notkunar upplýsinga við gerð skýrslna um lánshæfi mun rýmri en hér og víða sé heimilt að nota jákvæðar upplýsingar. Einnig sé ljóst af lögum nr. 33/2013 um neytendalán að á það sé lögð rík áhersla að í aðdraganda samnings um neytendalán sé gert áreiðanlegt lánshæfismat og að skýrslum frá fjárhagsupplýsingastofu sé ætlað að nýtast til gerðar slíks mats. Heimildir til vinnslu upplýsinga um söguleg vanskil hafi verið þrengdar verulega og óski Creditinfo Lánstraust hf. eftir formlegum rökstuðningi fyrir breytingunni, en hann liggi ekki fyrir í þeirri greinargerð, dags. 3. maí 2021, sem fylgi með nýju starfsleyfi. Þá segir að fyrirtækið hafi rökstutt, m.a. með tölfræði, að upplýsingar um söguleg vanskil séu ein sterkasta breytan til að meta líkur á að einstaklingur lendi í vanskilum í náinni framtíð og töluvert lengur en í tólf mánuði frá afskráningu upplýsinga.

Því er bætt við í bréfi Creditinfo Lánstrausts hf. frá 19. maí 2021 að tiltekin skilyrði í leyfisskilmálum séu til þess fallin að skerða enn frekar aðgengi lánveitenda að áreiðanlegum upplýsingum um stöðu lántaka. Nánar tiltekið er þar vísað til hækkunar á lágmarksfjárhæð krafna sem skrá má upplýsingar um, sbr. 1. og 2. tölul. liðar 2.2.1 og upphaf liðar 2.2.2 í nýju starfsleyfi 3. maí 2021, sbr. hins vegar upphaf liðar 2.2.1 og 1. og 2. tölul. liðar 2.2.2 í leyfinu 2017. Þá er vísað til þess skilyrðis fyrir skráningu upplýsinga á skrá um fjárhagsmálefni og lánstraust að löginnheimta verði að vera hafin, sbr. 1. mgr. ákvæðis 2.1 í nýju starfsleyfi. Segir með vísan til þessa að mat á lánshæfi, sem skylt sé að framkvæma hér á landi, byggist á mun takmarkaðri upplýsingum en í þeim ríkjum sem Ísland beri sig saman við, m.a. Noregi og Svíþjóð.

Í báðum framangreindum bréfum er um nánari röksemdir vísað til athugasemda Creditinfo Lánstrausts hf. á fyrri stigum við endurskoðun á leyfisskilmálum. Má þar nefna umsögn fyrirtækisins, dags. 30. október 2020, um drög að stöðluðum skilmálum í starfsleyfum til fjárhagsupplýsingastofa sem hinn 8. s.m. höfðu verið birt til umsagnar á vefsíðu Persónuverndar. Í umsögninni, sem einnig var birt á vefsíðunni, þ.e. 10. nóvember 2020, er fjallað um tölfræðilegar líkur á því að upplýsingar um einstakling séu færðar á skrá um fjárhagsmálefni og lánstraust hafi slíkar upplýsingar um viðkomandi áður verið á skránni og þá hvenær. Einnig er fjallað nokkuð ítarlega um löggjöf í Noregi og Danmörku og það hvernig hún veiti rýmri heimildir en hér á landi. Þá er meðal annars áréttuð sú afstaða Creditinfo Lánstrausts hf. að rýmka þurfi heimildir til skráningar upplýsinga um vanskil og vinnslu upplýsinga um vanskil á fyrri stigum og skuldastöðu við gerð lánshæfismats. Bæði fjárhæðarmörk og skilyrðið um löginnheimtu geri það að verkum að langur tími líði þar til einhver teikn séu á lofti um að einstaklingur sé kominn í vanskil og þannig sé auðvelt fyrir viðkomandi að skuldsetja sig víða á skömmum tíma án þess að nokkur merki séu um að hann ráði ekki við skuldbindingar sínar. Afleiðingin verði sú að margir kröfuhafar sem hafi lánað eða veitt þjónustu fyrir sem nemur lágum fjárhæðum eigi þess ekki kost að fá kröfur sínar endurgreiddar þar sem þær séu ekki tækar til vanskilaskráningar og hafi ekki áhrif á lánshæfismat, auk þess sem lögfræðiinnheimta sé of kostnaðarsöm til þess að það borgi sig að halda innheimtuaðgerðum til streitu. Þetta geti leitt til aukins skuldavanda einstaklinga og aukinna afskrifta lánveitenda og þjónustuveitenda, en það skili sér jafnframt út í verðlag.

1.2.

Svör Persónuverndar

Persónuvernd telur hér verða að líta til þess að um langt skeið hefur það verið háð takmörkunum hversu lengi má vinna með upplýsingar um fjárhagsmálefni og lánstraust sem skráðar eru í því skyni að miðla þeim til annarra. Hafa þær takmarkanir bæði falið í sér að upplýsingar skuli afskráðar þegar þær hafa náð tilteknum aldri og þegar þeim hefur verið komið í skil. Á þetta einnig við í þeim löndum sem Ísland miðar sig alla jafna við. Í því sambandi má til hliðsjónar nefna norsk lög um vinnslu persónuupplýsinga hjá fjárhagsupplýsingastofum (lov om behandling av opplysninger i kredittopplysningsvirksomhet, nr. 2019-12-20-109). Mælt er fyrir um þá grunnreglu í 1. mgr. 21. gr. laganna að ekki skuli unnið með upplýsingar hjá fjárhagsupplýsingastofu lengur en í fjögur ár frá því að upplýsingar voru fyrst löglega skráðar. Jafnframt er í 24. gr. laganna mælt fyrir um að þegar kröfu hefur verið komið í skil skuli hún ekki lengur notuð í starfsemi slíkrar stofu. Samkvæmt athugasemdum við fyrrnefnda ákvæðið í því frumvarpi sem varð að lögunum er ekki aðeins miðlun heldur einnig öll önnur vinnsla upplýsinga um kröfuna óheimil að fjögurra ára varðveislutíma liðnum, þ. á m. notkun upplýsinga í þágu gerðar skýrslna um lánshæfi. Jafnframt segir í athugasemdum við síðarnefnda ákvæðið að hafi kröfu verið komið í skil skuli upplýsingar um hana ekki lengur unnar hjá fjárhagsupplýsingastofu, en það merki að upplýsingum megi ekki miðla í starfsemi hennar, auk þess sem ekki megi nota þær sem grundvöll ákvarðanatöku í starfseminni. Tekið er fram að þetta geti orðið hinum skráða hvatning til að koma kröfu í skil.

Eins og fyrr er lýst gerir starfsleyfi Persónuverndar til handa Creditinfo Lánstrausti hf. ráð fyrir heimild til notkunar afskráðra krafna í eitt ár frá afskráningunni. Er þar gengið lengra en samkvæmt framangreindum ákvæðum norskrar löggjafar. Jafnframt er hins vegar ljóst að sú löggjöf veitir heimildir til skráningar upplýsinga umfram það sem starfsleyfið gerir ráð fyrir, en í því sambandi vísast til heimildar til notkunar innheimtuupplýsinga í starfsemi fjárhagsupplýsingastofa samkvæmt 10. gr. norsku laganna. Hér á landi er ekki fyrir að fara ítarlegri löggjöf eins og í Noregi um slíkar stofur. Hins vegar er gert ráð fyrir starfsemi þeirra, þ. á m. í ákvæði 15. gr. laga nr. 90/2018 þar sem fjallað er um starfsleyfi frá Persónuvernd sem starfsemi þeirra þarf að byggjast á, svo og reglugerð sem ráðherra setur um starfsemina. Þá má nefna að samkvæmt k-lið 5. gr. laga nr. 33/2013 um neytendalán getur lánshæfismat samkvæmt lögunum byggst á upplýsingum úr gagnagrunnum um fjárhagsmálefni og lánstraust, sbr. einnig 17. tölul. 4. gr. laga nr. 118/2016 um fasteignalán til neytenda. Er ljóst að upplýsingar úr slíkum gagnagrunnum geta þá komið í stað upplýsinga um viðskiptasögu lánveitanda og lántaka sem umrædd ákvæði gera einnig ráð fyrir að lögð sé til grundvallar lánshæfismati. Í ljósi þessa má telja málefnaleg rök geta staðið til þess að um nokkurt skeið megi fjárhagsupplýsingastofa notast við upplýsingar um afskráðar kröfur til gerðar skýrslna um lánshæfi. Jafnframt má hins vegar telja eðlilegt að svigrúm til þess sé metið þröngt og að það sé takmörkunum háð hversu lengi nýta má slíkar upplýsingar í umræddu skyni. Má þar nefna að ef gert er ráð fyrir að þess háttar notkun sé heimil lengur en eitt ár frá afskráningu geta upplýsingar enn haft áhrif þegar meira en fimm ár eru liðin frá skráningu, sbr. 1. mgr. ákvæðis 5.3 í nýju starfsleyfi, þess efnis meðal annars að upplýsingar, sem mæla gegn lánshæfi hins skráða, skuli afskráðar þegar fjögur ár eru liðin frá skráningu. Til hliðsjónar má þar líta til þeirrar grunnreglu 3. mgr. 20. gr. dönsku persónuverndarlaganna (lov om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysningar, nr. 502/2018) að upplýsingar sem orðnar eru eldri en fimm ára megi ekki vinna með í starfsemi fjárhagsupplýsingastofa.

Í ljósi þess sem að framan er rakið telur Persónuvernd ekki tilefni til þess að fallast á athugasemdir Creditinfo Lánstrausts hf. um að lengja beri það tímabil sem afskráðar kröfur geta nýst við gerð skýrslna um lánshæfi. Þá telur stofnunin að til ýmissa þeirra álitaefna sem á reynir í tengslum við heimildir fjárhagsupplýsingastofa þyrfti helst að taka afstöðu í löggjöf, en í því sambandi má nefna að ekki hefur enn verið sett ný reglugerð um starfsemi þeirra með stoð í 2. mgr. 15. gr. laga nr. 90/2018.

Með vísan til þessa gefst ekki tilefni til efnislegra breytinga á 2. mgr. ákvæðis 5.3 í nýju starfsleyfi. Við skoðun á ákvæðinu hefur hins vegar komið í ljós að lagfæra þarf orðalag. Hefur það verið gert og er ákvæðið nú svohljóðandi:

„Upplýsingar, sem varðveittar eru í 3 ár til viðbótar í samræmi við framangreint, má nýta til að verða við beiðnum frá skráðum einstaklingum um vitneskju um vinnslu persónuupplýsinga um sig og til að leysa úr ágreiningi um réttmæti skráningar. Að hámarki þar til 1 ár er liðið frá því að kröfu var komið í skil eða skráning á henni náði 4 ára aldri er einnig heimilt að nýta upplýsingar um kröfuna í þágu gerðar skýrslna um lánshæfi að beiðni hins skráða, enda sé ekki miðlað neinum upplýsingum um kröfuna sjálfa heldur eingöngu tölfræðilegum niðurstöðum. Önnur notkun upplýsinganna er óheimil.“

2.

Ósk um breytingu á lið 5.1.4

2.1.

Sjónarmið Creditinfo Lánstrausts hf.

Í lið 5.1.4 í nýju starfsleyfi er fjallað um tilkynningar til hins skráða um uppflettingar, öflun skýrslna um lánshæfi og vöktun. Samkvæmt 2. mgr. liðarins skal fylgt verklagi samkvæmt 1. mgr. liðar 5.1.2 við sendingu umræddra tilkynninga. Þar er um að ræða verklag sem fylgja skal þegar hinum skráða er greint frá skráningu upplýsinga um hann á skrá um fjárhagsmálefni og lánstraust. Segir í 1. mgr. síðarnefnda liðarins að fjárhagsupplýsingastofa skuli senda fræðslutilkynningu á skráð lögheimili samkvæmt þjóðskrá. Auk þess segir meðal annars að heimilt sé að senda hana með rafrænum hætti á sérstakt og öruggt vefsvæði, enda hafi áður verið aflað samþykkis hins skráða fyrir því.

Tekið er fram í þessu sambandi í bréfi Creditinfo Lánstrausts hf. frá 14. maí 2021 að fylgt hafi verið því fyrirkomulagi að einu sinni í mánuði séu sendar tilkynningar um uppflettingar mánuðinn á undan í almennum pósti. Í tilkynningu um uppflettingar sé hinn skráði upplýstur um það að framvegis verði tilkynningar sendar með rafrænum hætti inn á þjónustuvefinn mittcreditinfo.is. Hinir skráðu hafi aðgengi að tilkynningum og yfirliti uppflettinga á þjónustuvefnum, auk þess sem þeir geti óskað eftir því hvenær sem er að fá upplýsingar sendar á skráð lögheimili samkvæmt þjóðskrá. Telji Creditinfo Lánstraust hf. að með þessu verklagi séu réttindi hinna skráðu tryggð. Þá segir að í nýju starfsleyfi sé gert ráð fyrir að ávallt verði sent bréf vegna umræddra tilkynninga, auk þess sem bætt hafi verið við skyldu til að tilkynna um það bréflega þegar látið er af vöktun kennitölu (sbr. 1. mgr. liðar 5.1.4 í leyfinu). Hafi greining leitt í ljós að vegna þessa muni fjöldi bréfa, sem senda þarf í hverjum mánuði, fara úr u.þ.b. 1.500 bréfum að meðaltali í a.m.k. 20.000 bréf. Telji Creditinfo Lánstraust hf. að hér ræði um mjög íþyngjandi ákvæði, en aðgengi hinna skráðu að upplýsingum um sig hafi verið mjög gott og fræðslu verið vel sinnt, auk þess sem upplýsingar veittar á aðgangsstýrðum svæðum séu mun öruggari en almennar bréfasendingar þar sem bréf geti lent í röngum höndum. Jafnframt sé hér horft til umhverfissjónarmiða og kostnaðar sem á endanum lendi á neytendum.

Vísað er til framangreinds í bréfi Creditinfo Lánstrausts hf., dags. 19. maí 2021, og jafnframt lagt til að liður 5.1.4 í nýju starfsleyfi verði svohljóðandi:

„Þegar áskrifandi aflar sér persónuupplýsinga um hinn skráða skal fjárhagsupplýsingastofa láta hann vita af því. Einnig skal hún upplýsa hann um það þegar áskrifandi hefur vöktun á kennitölu hans. Skal tilkynning um framangreint send hinum skráða eigi síðar en mánuði frá uppflettingu í skrá um fjárhagsmálefni og lánstraust. Hið sama á við um öflun skýrslna um lánshæfi sem á sér stað við vöktun á kennitölu eftir að skýrslu um hinn skráða var aflað í fyrsta sinn að veittri fræðslu samkvæmt 1. mgr. 3. gr. leyfis þessa.

Þegar tilkynning er send hinum skráða í fyrsta sinn skal hún send með almennum pósti. Framvegis má senda hana með rafrænum hætti inn á sérstakt, öruggt og aðgangsstýrt vefsvæði, enda sé hinum skráða tilkynnt um það fyrirkomulag.“

Að öðru leyti er í bréfum Creditinfo Lánstrausts hf. vísað til umfjöllunar í umsögn fyrirtækisins, dags. 30. október 2021, um drög að stöðluðum skilmálum í starfsleyfum til fjárhagsupplýsingastofa. Í þeirri umsögn eru framangreind sjónarmið um kostnað og umhverfisvernd rakin og meðal annars vísað til umsagnar fyrirtækisins um áform fjármála- og efnahagsráðuneytisins um samningu lagafrumvarps um stafrænt pósthólf. Sé þar lögð áhersla á að lög þar að lútandi taki ekki aðeins til bréfasendinga frá stjórnvöldum heldur einnig frá einkaaðilum.

2.2.

Svör Persónuverndar

Í tengslum við framangreint reynir á grunnreglu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um gagnsæi við vinnslu persónuupplýsinga, sbr. einnig a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Þessi grunnkrafa er útfærð frekar í meðal annars 13. og 14. gr. reglugerðarinnar, sbr. 2. mgr. 17. gr. laga nr. 90/2018. Í fyrrnefnda reglugerðarákvæðinu er mælt fyrir um fræðslu sem veita ber hinum skráða þegar upplýsinga er aflað hjá honum sjálfum og í því síðarnefnda um fræðslu við öflun upplýsinga frá öðrum en hinum skráða sjálfum. Ljóst er að hvorugt þessara ákvæða á við um Creditinfo Lánstraust hf. þegar áskrifendur að upplýsingum hjá fyrirtækinu notfæra sér aðgang að kerfum þess. Hins vegar er ljóst að hinn skráði á rétt á aðgangi að upplýsingum um vinnslu persónuupplýsinga um sig hjá Creditinfo Lánstrausti hf. samkvæmt beiðni, sbr. 15. gr. reglugerðarinnar. Það ákvæði gerir ráð fyrir að hinn skráði hafi sjálfur frumkvæði að því að óska eftir þessum aðgangi og mælir ekki fyrir um sérstaka skyldu ábyrgðaraðila til að upplýsa hinn skráða um vinnslu persónuupplýsinga þegar beiðni frá honum liggur ekki fyrir.

Einnig telur Persónuvernd verða að líta til sérstaks eðlis þeirrar vinnslu persónuupplýsinga sem fram fer hjá Creditinfo Lánstrausti hf. sem fjárhagsupplýsingastofu. Þegar litið er til þess, svo og fyrrnefndrar grunnkröfu persónuverndarlöggjafarinnar um gagnsæi, er mikilvægt að fyrirtækið hagi vinnslu sinni þannig að hinum skráða sé veitt vitneskja um vinnslu persónuupplýsinga um sig án þess að hann þurfi að leita sérstaklega eftir því sjálfur. Er þá litið til þess að þetta getur verið honum mikilvægt til að gæta hagsmuna sinna. Skal tekið fram í því sambandi að með fyrirkomulagi við veitingu fræðslu eins og því sem Creditinfo Lánstraust hf. lýsir, þ.e. að hinum skráða sé fyrst send tilkynning í bréfpósti en í framhaldinu rafrænar tilkynningar nema annars sé óskað, skapast sú hætta að tilkynningar fari alfarið fram hjá hinum skráða hafi hann ekki fengið upphaflega bréfið í hendur.

Persónuvernd telur hins vegar einnig nauðsynlegt að líta til þess að hér ræðir um mikinn fjölda vinnsluaðgerða sem upplýsa þarf um, þ.e. öll þau tilvik þar sem skráðum einstaklingi er flett upp, skýrslu aflað um lánshæfi hans eða kennitala hans sett í vöktun hjá áskrifanda eða tekin úr vöktun. Má þar hafa hliðsjón af þeirri undantekningu frá fræðsluskyldu samkvæmt 14. gr. reglugerðar (ESB) 2016/679 sem mælt er fyrir um í b-lið 5. mgr. þeirrar greinar, þess efnis meðal annars að fræðsluskyldan eigi ekki við kosti hún óhóflega fyrirhöfn. Þá má líta til þess að hér ræðir um fræðslutilkynningar sem ekki er sérstaklega tiltekið í persónuverndarlöggjöf að senda skuli en eru þess í stað leiddar af hinni almennu gagnsæiskröfu. Er ljóst að við beitingu hennar verður, auk sjónarmiða um gagnsæi við vinnslu persónuupplýsinga, að líta til meðalhófs í framkvæmd gagnvart ábyrgðaraðilum að vinnslu slíkra upplýsinga, m.a. með hliðsjón af framangreindri undantekningu frá fræðsluskyldu samkvæmt 14. gr. reglugerðar (ESB) 2016/679. Má í ljósi þessa fallast á að rök standi til þess að viðhafa megi sambærilegt verklag og það sem Creditinfo Lánstraust hf. hefur lýst.

Við útfærslu á slíku verklagi ber að líta til þeirrar áherslu sem í persónuverndarlöggjöf er lögð á sjálfsákvörðunarrétt einstaklingsins. Telur Persónuvernd því ekki tilefni til að falla frá umræddri samþykkiskröfu. Hins vegar telur stofnunin einnig að hana megi útfæra á þann hátt að framkvæmdin verði ekki of íþyngjandi fyrir starfsemi fjárhagsupplýsingastofu. Hefur Persónuvernd, með hliðsjón af því, ákveðið að breyta 2. mgr. liðar 5.1.4 í nýju starfsleyfi og hljóðar hún nú svo:

„Tilkynning samkvæmt 1. mgr. skal í fyrsta sinn send hinum skráða í bréfpósti á skráð lögheimili hans samkvæmt þjóðskrá. Síðari tilkynningar er heimilt að gera hinum skráða aðgengilegar á sérstöku og öruggu vefsvæði, svo sem í heimabanka, enda hafi hinn skráði veitt samþykki sitt fyrir því. Sé þessi fræðslumáti nýttur skal fyrsta fræðslutilkynning hafa að geyma leiðbeiningar um hvernig samþykki sem þetta megi veita. Þá má taka fram að fræðslutilkynningar verði framvegis ekki sendar í bréfpósti nema þess verði óskað sérstaklega og skal leiðbeint um hvernig ósk þar að lútandi megi koma á framfæri.“

3.

Orðalag í 7. kafla greinargerðar með stöðluðum starfsleyfisskilmálum

3.1.

Sjónarmið Creditinfo Lánstrausts hf.

Í bréfi Creditinfo Lánstrausts hf. frá 14. maí 2021 er gerð athugasemd við orðalag í 7. kafla greinargerðar, dags. 3. maí 2021, með stöðluðum skilmálum í starfsleyfum til fjárhagsupplýsingastofa, en nýtt starfsleyfi er samhljóða þeim. Í umræddum kafla er fjallað um það skilyrði 1. mgr. ákvæðis 2.1 í skilmálunum að því aðeins megi koma til vanskilaskráningar að löginnheimta sé hafin. Það orðalag sem gerð er athugasemd við er svohljóðandi:

„Þá skal tekið fram að samkvæmt orðalagi umrædds starfsleyfisákvæðis geta tilkynningar, viðvaranir og aðrar aðgerðir sem tengjast frum- og milliinnheimtu, sbr. 2. mgr. 1. gr. laga nr. 95/2008, aldrei orðið grundvöllur vanskilaskráningar. Aðeins að því gefnu að slíkri innheimtu sé lokið og löginnheimta á vegum lögmanns hafin, svo og að eitthvert þeirra atriða sem talin eru upp í liðum 2.2.1 og 2.2.2 eigi við, má skráning eiga sér stað.“

Sú athugasemd er gerð í áðurnefndu bréfi Creditinfo Lánstrausts hf. að framangreint geti skilist á þann veg að löginnheimta geti ekki hafist nema frum- og milliinnheimtu sé lokið. Löggjafinn kveði hins vegar ekki á um að skylt sé að fara með kröfu í milliinnheimtu áður en til löginnheimtu komi. Þannig geti það þjónað hagsmunum kröfuhafa að fara strax í löginnheimtu, t.d. ef viðkomandi greiðandi er kominn með vanskilaskráningar eða ljóst er að hann er að skjóta undan eignum. Sé nauðsynlegt að skýra orðalag greinargerðarinnar betur hvað þetta varðar. Þá segir meðal annars að sé ætlunin að banna vanskilaskráningu þegar krafa hefur ekki farið í milliinnheimtuferli sé óskað rökstuðnings fyrir þeirri ákvörðun.

Því er bætt við í bréfi Creditinfo Lánstrausts hf. frá 19. maí 2021 að áskrifendur hafi óskað eftir nánari skýringum á framangreindu, enda hvíli engin lagaskylda á kröfuhöfum til að fara með kröfur í milliinnheimtu. Þeir kröfuhafar sem hafi heimildir í lána- og skuldaskjölum til skráninga á vanskilaskrá þegar vanskil hafa varað í 40 daga (sbr. 7. tölul. liðar 2.2.1 í leyfinu 29. desember 2017 og 7. tölul. liðar 2.2.2 í nýju starfsleyfi 3. maí 2021) hafi margir hverjir bent á að þar sem við gerð nýrra starfsleyfisskilmála var ekki fallist á að fella brott skilyrðið um löginnheimtu megi gera ráð fyrir að gripið verði til hennar fyrr, svo og gjaldfellingar skuldabréfa með tilheyrandi kostnaði fyrir neytendur. Þá ýti hækkun fjárhæðarmarka undir framangreint (sbr. 1. og 2. tölul. liðar 2.2.1 og upphaf liðar 2.2.2 í nýju starfsleyfi, sbr. hins vegar upphaf liðar 2.2.1 og 1. og 2. tölul. liðar 2.2.2 samkvæmt leyfinu 2017), en ljóst sé að oft sé höfuðstóll afborgunar á skuldabréfi aðeins lítill hluti hennar.

3.2.

Svör Persónuverndar

Hvað snertir orðalag í 7. kafla greinargerðar Persónuverndar með almennum skilmálum í starfsleyfum til fjárhagsupplýsingastofa, dags. 3. maí 2021, skal tekið fram að ekki er á grundvelli bókstaflegs skilnings á því unnt að hnika því til hvenær hefja má löginnheimtu lögum samkvæmt. Persónuvernd telur mega ætla að almennt hafi bæði frum- og millinnheimta átt sér stað þegar löginnheimta hefst og er textanum, sem vitnað er til í kafla 3.1 hér að framan, einungis ætlað að undirstrika það að á meðan á frum- og milliinnheimtu stendur er vanskilaskráning óheimil. Orðalagið útilokar í sjálfu sér ekki að löginnheimta hefjist án þess að áður hafi farið fram milliinnheimta, en fari slík innheimta fram, eins og almennt má ætla að sé raunin, er ljóst að skráning eins og fyrr greinir má ekki eiga sér stað samhliða henni.

Að öðru leyti tekur Persónuvernd fram að skilyrðið um löginnheimtu hefur lengi verið í starfsleyfum og á hið sama við um skilyrðið um fjárhæðarmörk sem hafa hækkað smátt og smátt, nú úr 50.000 kr. í 60.000. Persónuvernd telur ekki sérstaka ástæðu til að ætla að skilyrði um framangreint verði nú til þess, fremur en áður, að kröfuhafar hefji löginnheimtu fyrr en ella hefði verið. Þá bendir stofnunin á að vanskilaskráning þjónar því hlutverki að draga úr áhættu við veitingu fjárhagslegrar fyrirgreiðslu, auk þess sem vanskilaupplýsingar geta nýst til að taka ákvarðanir um innheimtuaðgerðir. Hins vegar er ljóst að í íslenskri löggjöf er sú forsenda ekki lögð til grundvallar að vanskilaskráning sé beinlínis innheimtuúrræði þannig að með með henni sé leitast við að fá tiltekna kröfu greidda. Þá er vandséð að skilyrðið um löginnheimtu ætti að verða til þess að kröfuhafar gjaldfelli kröfur sínar frekar en ella, enda óljóst hvers vegna það ætti að þjóna hagsmunum kröfuhafa að grípa til slíks úrræðis af þeirri ástæðu einni að vanskilaskráning hafi ekki átt sér stað.

Í ljósi framangreinds telur Persónuvernd þær athugasemdir Creditinfo Lánstrausts hf. sem hér um ræðir ekki gefa sérstakt tilefni til ráðstafana af hálfu stofnunarinnar.

4.

Ósk um skýringu á orðalagi liðar 2.2.2 í nýju starfsleyfi

4.1.

Sjónarmið Creditinfo Lánstrausts hf.

Í bréfi Creditinfo Lánstrausts hf. frá 14. maí 2021 er óskað skýringa á orðalagi í lið 2.2.2 í nýju starfsleyfi. Vísað er til þeirra orða í upphafi liðarins að frá áskrifendum megi safna upplýsingum um skuldir einstaklinga sem hver um sig nemur a.m.k. 60.000 kr. að höfuðstóli. Spurt er hvað átt sé við með orðunum „hver um sig“ og tekið fram að við innheimtu á til dæmis skuldabréfum, úttektum yfir tiltekið tímabil, greiðslu mánaðargjalds, svo sem hjá símafyrirtækjum, líkamsræktarstöðvum o.fl., sé ekki stofnað sérstakt mál fyrir hvern gjalddaga og hverja úttekt. Fælist enda í því mikið óhagræði fyrir skuldarann, auk þess sem kostnaður við innheimtu myndi hækka verulega.

Því er bætt við í bréfi Creditinfo Lánstrausts hf. frá 19. maí 2021 að þess sé óskað að í stað höfuðstóls miðist fjárhæðarmörk við heildarfjárhæð kröfu að undanskildum innheimtukostnaði. Segir að fram til 2017 hafi sú verið raunin og hafi þá verið um að ræða sams konar fyrirkomulag og samkvæmt danskri löggjöf.

4.2.

Svör Persónuverndar

Hvað varðar athugasemdir Creditinfo Lánstrausts hf. um tilgreiningu á fjárhæð kröfu í starfsleyfum fyrir 2017 skal tekið fram að höfuðstóll var ekki sérstaklega nefndur í tengslum við fjárhæð kröfu í leyfum útgefnum 2012–2016. Fram að því og eftir það hefur fjárhæð hins vegar verið miðuð við höfuðstól. Telur Persónuvernd það skýrustu tilgreininguna, en þó er ljóst að greiða getur þurft úr álitamálum í þessu sambandi. Þá skal tekið fram til skýringar að höfuðstól samkvæmt nýju starfsleyfi, sbr. 1. og 2. tölul. liðar 2.2.1 og upphaf liðar 2.2.2 í leyfinu, ber að skilja sem heildarfjárhæð kröfu, að undanskildum vöxtum og öðrum kostnaði, sem til er komin vegna eins og sama löggerningsins. Í því felst til dæmis að séu þrír reikningar tilkomnir vegna áskriftarsamnings telst samanlögð fjárhæð þeirra allra vera höfuðstóll kröfu.

Að öðru leyti skal tekið fram að Persónuvernd telur þær athugasemdir Creditinfo Lánstrausts hf. sem hér um ræðir ekki gefa sérstakt tilefni til ráðstafana af hálfu stofnunarinnar.

5.

Öflun upplýsinga um opinberar gerðir frá áskrifendum

5.1.

Sjónarmið Creditinfo Lánstrausts hf.

Í bréfi Creditinfo Lánstrausts hf., dags. 14. maí 2021, er þess óskað að lið 2.2.2 í nýju starfsleyfi verði breytt þannig að afla megi upplýsinga um opinberar gjörðir samkvæmt lið 2.2.1 í leyfinu frá áskrifendum sjálfum fremur en að leita þurfi þeirra úr opinberum skrám. Vísað er til umsagnar fyrirtækisins 30. október 2020 um drög að stöðluðum skilmálum í starfsleyfum til fjárhagsupplýsingastofa í þessu sambandi. Nánar tiltekið er vísað til þess sem þar segir um að gagnaskil áskrifenda séu oft betri en hins opinbera og einnig fáist betri upplýsingar frá áskrifendum. Frá þeim sé til dæmis unnt að fá upplýsingar um kröfuhafa og umboðsmenn þeirra þegar um ræðir árangurslaus fjárnám, en slíkar upplýsingar fáist ekki frá hinu opinbera. Jafnframt geri starfsleyfisskilmálar ráð fyrir öflun upplýsinga um það frá áskrifendum þegar skuldara hefur með dómi, úrskurði eða áritaðri stefnu verið gert að greiða skuld (sbr. 3. tölul. liðar 2.2.2 í nýju starfsleyfi). Er vísað til framangreinds í bréfi Creditinfo Lánstrausts hf., dags. 19. maí 2021.

5.2.

Svör Persónuverndar

Í skilmálum í starfsleyfum til söfnunar og miðlunar upplýsinga um fjárhagsmálefni og lánstraust hefur um langt skeið verið byggt á því sem meginreglu að upplýsinga úr opinberum gögnum sé aflað frá opinberum aðilum. Af hálfu Creditinfo Lánstrausts hf. hefur verið bent á að slíkt er ekki með öllu án undantekninga. Tekið skal fram í því sambandi að á meðan ekki hefur verið sett ný reglugerð um slíka starfsemi og hér um ræðir, sem kæmi í stað reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, má telja eðlilegt að ekki séu gerðar verulegar breytingar á ríkjandi fyrirkomulagi. Telur Persónuvernd því ekki rétt, eins og á stendur, að kveða á um það í starfsleyfisskilmálum að sækja megi til áskrifenda þau gögn sem samkvæmt lið 2.2.1 í nýju starfsleyfi, sbr. lið 2.2.2 í leyfinu 2017, má afla úr opinberum skrám. Verður því ekki fallist á ósk Creditinfo Lánstrausts hf. þar að lútandi.

6.

Ósk um heimild til öflunar upplýsinga af válista Skattsins

6.1.

Sjónarmið Creditinfo Lánstrausts hf.

Í bréfi Creditinfo Lánstrausts hf., dags. 14. maí 2021, er óskað heimildar til öflunar upplýsinga af svonefndum válista Skattsins, sbr. einnig umsögn fyrirtækisins 30. október 2020 um drög að stöðluðum starfsleyfisskilmálum. Segir í bréfinu 14. maí 2021 að um ræði opinberar upplýsingar sem unnt sé að nálgast á vefsíðu Skattsins með því að leita eftir kennitölu einstaklings eða nafni. Séu upplýsingarnar mikilvægar lánveitendum og aðilum sem bjóða upp á reikningsviðskipti og felist hagræði í því að þær birtist á skrá yfir vanskil og opinberar gjörðir. Þetta er áréttað í bréfi Creditinfo Lánstrausts hf., dags. 19. maí 2021.

6.2.

Svör Persónuverndar

Á válista skattsins eru þeir aðilar skráðir, bæði lögaðilar og einstaklingar, sem skatturinn hefur afskráð af virðisaukaskattsskrá á grundvelli 1. mgr. 27. gr. A í lögum nr. 50/1988 um virðisaukaskatt, þ.e. þar sem þeir hafa sætt áætlun slíks skatts um tiltekið skeið. Hefur afskráningin þau réttaráhrif að viðkomandi er óheimilt að innheimta virðisaukaskatt í viðskiptum sínum og skal, ef hann brýtur gegn því banni, skila honum í ríkissjóð án þess að eiga rétt á innskatti sem frádrætti þar á móti, sbr. 5. mgr. sömu greinar. Jafnframt geta kaupendur á vörum eða þjónustu af honum ekki átt rétt á endurgreiðslu virðisaukaskatts vegna kaupanna þar sem slíkur réttur er til staðar, sbr. 1. mgr. 16. gr., 12. mgr. 42. gr. og 4. mgr. 43. gr. laganna, svo og 6. mgr. greinar XXXIII til bráðabirgða í lögunum.

Persónuvernd telur þurfa að kanna lagaleg álitaefni í tengslum við umrædda skrá. Er þá litið til þess að með uppflettingum í virðisaukaskattsskrá sem slíkri er unnt að sjá hvort tiltekinn einstaklingur er á virðisaukaskattsskrá. Hefur Persónuvernd í ljósi þessa óskað skýringa frá Skattinum og er því ótímabært að fjalla um umrædda ósk Creditinfo Lánstrausts hf.

7.

Um gildistíma

7.1.

Sjónarmið Creditinfo Lánstrausts hf.

Í bréfi Creditinfo Lánstrausts hf. er tekið fram að sum ákvæði nýs starfsleyfis kalli á verulegar breytingar á kerfum, líkönum og verkferlum hjá fyrirtækinu en ekki síður hjá áskrifendum þess. Að hluta verði þessar breytingar ekki framkvæmdar á skömmum tíma, auk þess sem fyrir liggi að vinna við setningu nýrrar reglugerðar um vinnslu fjárhagsupplýsinga sé að hefjast hjá dómsmálaráðuneytinu, en hún muni án efa hafa áhrif á leyfisskilmála til fjárhagsupplýsingastofa. Því sé óskað frestunar á gildistöku til 1. október 2021.

Eins og fyrr greinir óskaði Persónuvernd nánari rökstuðnings fyrir þessari ósk, þ.e. í tölvupósti 20. maí 2021, og var því svarað til 21. s.m. að þrjár til fjórar vikur væru algjör lágmarkstími til að þjálfa nýtt líkan til gerðar skýrslna um lánshæfi með tilliti til nýrra forsendna. Áskrifendur þyrftu einnig a.m.k. þennan tíma til að stilla af sjálfvirka lánaferla sína og kröfur með tilliti til þess að matið yrði veikara, t.d. með því að biðja um aukagögn, lækka heimildir o.s.frv.

Margir þyrftu að koma að verkefnum sem þessum og væri um að ræða mikla vinnu fyrir alla viðkomandi aðila. Ljóst væri að unnið væri að reglugerð um lánshæfismat og því rétt að gildistöku þess hluta leyfisins, sem lýtur að slíku mati, yrði frestað til 1. október nk. svo að allir hlutaðeigandi aðilar væru ekki að fara í alla þessu vinnu til þess eins að þurfa að breyta ferlum sínum aftur eftir nokkra mánuði þegar reglugerð liggi fyrir.

Til vara sé óskað eftir fresti til 1. júlí 2021. Það sé sá frestur sem Creditinfo Lánstraust hf. og lánveitendur þyrftu til að búa vel um hnúta þannig að allir ferlar, heimildir o.s.frv. séu þannig að neytendur verði fyrir sem minnstum töfum við að fá afgreiðslu á lánum. En með því sé farið út í mikla vinnu samhliða því að aftur geti þurft að aðlaga allt þegar ný reglugerð taki gildi eftir nokkra mánuði.

Auk framangreinds er í bréfi Creditinfo Lánstrausts hf., dags. 19. maí 2021, vikið að 1. mgr. 3. gr. nýs starfsleyfis, þess efnis meðal annars að við framlagningu beiðni um gerð og öflun skýrslu um lánshæfi skuli liggja fyrir að hinn skráði hafi fengið skriflega eða rafræna fræðslu. Segir í bréfi fyrirtækisins að þetta kalli á breytingar á sjálfvirkum ferlum við lánveitingar sem ekki verði komið við á nokkrum dögum.

7.2.

Svör Persónuverndar

Persónuvernd hefur við veitingu nýs leyfis ákveðið að gera ekki grunnbreytingar frá því fyrirkomulagi sem var við lýði samkvæmt eldri leyfum. Tilhögun umræddrar vinnslu, eins og henni er nú lýst í leyfisskilmálum, er því að mestu óbreytt frá því sem áður var. Þá er óvíst hvenær sett verður reglugerð um starfsemi fjárhagsupplýsingastofa með stoð í 2. mgr. 15. gr. laga nr. 90/2018. Telur Persónuvernd í ljósi þessa að ekki gefist tilefni til frestunar á gildistöku nýs leyfis allt til 1. október nk.

Jafnframt telur Persónuvernd hins vegar mega líta til þess að viss ákvæði leyfisins má telja geta kallað á það mikla vinnu til aðlögunar að nokkur frestur í því skyni eigi rétt á sér. Nánar tiltekið er þar um að ræða 2. mgr. ákvæðis 5.3, sbr. 1. kafla bréfs þessa, þar sem fjallað er um notkun afskráðra færslna við gerð skýrslna um lánshæfi og tímamörk í þeim efnum; 2.–4. málsl. 2. mgr. liðar 5.1.4, sbr. 2. kafla bréfsins, þar sem fjallað er um samþykki fyrir notkun sérstaks og öruggs vefsvæðis til að koma tilkynningum til hins skráða um uppflettingar, öflun skýrslna um lánshæfi og vöktun; svo og 3. gr. leyfisins þar sem fjallað er um gerð lánshæfismats, sbr. umfjöllun í kafla 7.1 hér að framan.

Frestur til aðlögunar að framangreindum ákvæðum er veittur til 1. júlí nk. Með vísan til 1. og 5. tölul. 1. mgr. 41. gr. laga nr. 90/2018 er jafnframt lagt fyrir Creditinfo Lánstraust hf. að upplýsa Persónuvernd um það við lok frestsins til hvaða aðgerða hefur verið gripið til aðlögunar vegna þeirra ákvæða nýs starfsleyfis sem fyrr greinir.

F.h. Persónuverndar,

Helga Þórisdóttir Þórður Sveinsson