Úrskurður

um kvörtun yfir vinnslu persónuupplýsinga hjá Creditinfo Lánstrausti hf., í máli nr. 2025020529:

Málsmeðferð

1. Hinn 29. nóvember 2024 barst Persónuvernd kvörtun frá [B] lögmanni, f.h. [A] (hér eftir kvartandi), yfir vinnslu persónuupplýsinga um kvartanda hjá Creditinfo Lánstrausti hf. (hér eftir Creditinfo) í tengslum við gerð skýrslu um lánshæfi hans.

2. Persónuvernd bauð Creditinfo að tjá sig um kvörtunina með bréfi, 20. ágúst 2025. Félagið svaraði með bréfi, dags. 10. september s.á. Kvartanda var veittur kostur á að koma á framfæri athugasemdum við svör Creditinfo, með bréfi, dags. 14. október 2025. Kvartandi svaraði með bréfi, 31. s.m. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna.

Ágreiningsefni og afmörkun máls

3. Ágreiningur er um hvort Creditinfo hafi verið heimilt, við gerð skýrslu um lánshæfi kvartanda, að vinna upplýsingar um tengsl hans við félagið [X] ehf. Einnig er ágreiningur um hvort upplýsingagjöf Creditinfo til kvartanda í tengslum við vinnslu persónuupplýsinga hans hafi verið í samræmi við lög.

Atvik máls og fyrirliggjandi gögn

4. Mál þetta má rekja til þess að við uppfærslu Creditinfo á skýrslu um lánshæfi einstaklinga þann 23. nóvember 2023 lækkaði lánshæfismat kvartanda úr A3 í B1. Helsti áhrifaþáttur til lækkunar á lánshæfismati kvartanda voru tengsl hans við félagið [X] ehf. en hann var skráður sem stofnandi, meðstjórnandi, framkvæmdastjóri og eigandi að 50% hlutafé félagsins samkvæmt opinberri fyrirtækjaskrá Skattsins og stofnskrá.

5. Vegna framangreinds óskaði kvartandi skýringa hjá Creditinfo í gegnum þjónustuvef félagsins þann 12. desember 2023. Í kjölfarið áttu sér stað samskipti milli Creditinfo og kvartanda, sem rakin eru hér að neðan að því marki sem þau hafa þýðingu fyrir úrlausn málsins. Kvartandi var þar upplýstur um heildaruppfærslu á lánshæfismati Creditinfo þann 23. nóvember s.á. Í svarinu var jafnframt að finna hlekk með tilvísun í nánari upplýsingar á vefsíðu félagsins um uppfærsluna og hvar hann gæti nálgast nánari upplýsingar um áhrifaþætti í lánshæfismati sínu, þ.e. á þjónustuvefnum Mitt Creditinfo. Kvartandi óskaði enn skýringa um hvað hefði neikvæð áhrif á lánshæfismat hans og hvers vegna. Creditinfo svaraði því til að breytingin á vægi áhrifaþáttanna væri það sem ylli breytingu á lánshæfismati kvartanda. Kvartandi óskaði þá skýringa á því hver sú breyting væri, hvaða þættir hefðu neikvæð áhrif og hvers vegna. Creditinfo svaraði því til að lánshæfismat félagsins væri byggt á öllum þeim gögnum sem félagið hefði aðgang að og væri heimilt að nota við gerð slíks mats. Auk þess var þar að finna útlistun á áhrifaþáttum í lánshæfismati. Þá var kvartandi upplýstur um helstu áhrifaþætti sem hefðu áhrif til lækkunar á lánshæfismati hans, sem væru lýðfræðiupplýsingar og tengsl við fyrirtæki. Loks var honum leiðbeint um að nánari upplýsingar um áhrifaþættina væri að finna á þjónustuvef Creditinfo. Óskaði kvartandi þá skýringa um hvers vegna lýðfræðiupplýsingar hefðu neikvæð áhrif og hvort viðbótarupplýsingar sem hann samþykkti að veita hefðu jákvæð eða neikvæð áhrif á lánshæfismat hans. Svaraði Creditinfo því til að lýðfræðiupplýsingar hefðu ekki mikil áhrif en áréttaði að í tilfelli kvartanda væri það breytingin á vægi áhrifaþáttanna sem ylli breytingu á lánshæfismati kvartanda. Benti Creditinfo á að breytingin væri þó lítil en þó næg til að hann færðist milli flokka.

6. Þann 18. desember 2023 hafði kvartandi aftur samband við Creditinfo og var í kjölfar þess afhent skýrsla sem sýndi áhrifaþætti og vægi þeirra í lánshæfismati hans, auk almennra skýringa um lánshæfismat einstaklinga. Samkvæmt skýrslunni var kvartandi skráður í flokk B1. Nánar tiltekið var í skýrslunni að finna töflu með upptalningu á áhrifaþáttum í lánshæfismati kvartanda, en meðal þeirra voru fyrirtækjatengingar og skuldastaða, sem flokkaðir voru með vægið „takmörkuð neikvæð áhrif“. Tilgreint var að það leiddi til lækkunar um 1-2 flokka. Upplýsingar um lýðfræði og uppflettingar og vaktanir voru flokkaðar með vægið „takmörkuð jákvæð áhrif“, sem fæli í sér hækkun um 1-2 flokka. Upplýsingar um vanskil voru þar flokkaðar með vægið „óveruleg áhrif“, sem fæli í sér breytingu um minna en 1 flokk.

7. Óskaði kvartandi í framhaldinu frekari skýringa, í ljósi þess að hann hafði upphaflega fengið þær upplýsingar að lýðfræðiupplýsingar hefðu áhrif til lækkunar á lánshæfismati hans., sbr. umfjöllun í efnislið 7 hér að framan. Creditinfo svaraði því til að í upphaflegu svari hafi komið fram að helstu áhrifaþættir til lækkunar væru lýðfræðiupplýsingar, en þar hefðu áhrif verið mæld frá besta mögulega lánshæfismatinu, þ.e. hvar kvartandi hefði mögulega getið fengið fleiri stig. Í kjölfarið vísaði Creditinfo til þess að í skýrslunni sem kvartandi hefði fengið senda, hefðu áhrifin hins vegar verið mæld miðað við einstakling sem lítið væri vitað um og að slíkur einstaklingur væri í flokknum B2. Í því sambandi benti Creditinfo á að lýðfræðiupplýsingar kvartanda væru jákvæðar miðaðar út frá því sjónarmiði. Benti Creditinfo á að skýrslan útskýri hvernig lánshæfismat kvartanda væri frábrugðið B2, sem væri meðaltal þjóðarinnar eins og áður hefði komið fram.

8. Þann 3. janúar 2024 óskaði kvartandi enn frekari skýringa, auk upplýsinga um hvort hann gæti með einhverju móti hækkað lánshæfismat sitt. Creditinfo svaraði kvartanda 9. s.m. og upplýsti hann meðal annars um að félagið [X] ehf. væri nýtt og því væri takmarkað til af upplýsingum um það, sem skýrði lánshæfismat þess. Var kvartanda jafnframt leiðbeint um að hann mætti senda ársreikning félagsins fyrir árið 2023 og að mögulega hefðu þau gögn jákvæð áhrif á lánshæfismat félagsins.

9. Í kjölfarið sendi kvartandi Creditinfo ársreikning fyrir [X] ehf. Það leiddi til þess að lánshæfismat félagsins batnaði en hins vegar stóð lánshæfismat kvartanda í stað. Vegna framangreinds óskaði kvartandi frekari skýringa í gegnum fyrirspurnarvef Creditinfo, 9. febrúar 2024. Í framhaldi áttu sér stað nokkur samskipti milli kvartanda og Creditinfo. Þau samskipti lutu einna helst að því hvernig stæði á að hækkun á lánshæfismati félagsins [X] ehf. hefði ekki haft þau áhrif að lánshæfismat kvartanda hækkaði samhliða, í ljósi þess að helsti áhrifaþáttur til lækkunar á lánshæfismati hans væri tengsl við félag, eins og áður hefur verið vikið að. Skýringar Creditinfo þar að lútandi voru þær að samkvæmt greiningardeild félagsins hefði umrædd bæting á lánshæfismati félagsins [X] ehf. ekki dugað til að færa kvartanda yfir í A flokk. Þó hefði mat hans batnað og að hann væri orðinn „betri“ B1.

10. Þann 9. apríl 2024 sendi kvartandi bréf til Creditinfo, og óskaði þar eftir afriti af þeim upplýsingum sem væru í vinnslu hjá Creditinfo, auk upplýsinga um vægi einstakra breytna við útreikning á líkindum í skýrslu um lánshæfi hans og þau rök sem þar lágu að baki. Þann 12. s.m. sendi Creditinfo kvartanda svokallaða aðgangsskýrslu, þ.e. almenna skýrslu með yfirliti yfir upplýsingar í vinnslu um kvartanda hjá Creditinfo á útgáfudegi skýrslunnar. Í skýrslunni var jafnframt að finna yfirlit og almennar útskýringar á öryggisráðstöfunum hjá Creditinfo, vinnslu, tilgangi og lagagrundvelli persónuupplýsinga sem unnið væri með, hverjir væru viðtakendur persónuupplýsinganna og hver uppruni þeirra væri, ásamt upplýsingum um ábyrgð og flokka persónuupplýsinganna. Að sögn Creditinfo var í þeirri skýrslu jafnframt t.d. tafla með öllum uppflettingum sem hefðu verið framkvæmdar á viðkomandi, dagsetningu og viðtakanda upplýsinganna, yfirlit yfir vaktanir sem viðkomandi væri í, skráningar á vanskilaskrá og/eða skrá um opinberar gjörðir, upplýsingar um skráða eignarhluti í félögum og félagaþátttöku, skuldastöðuyfirlit ef viðkomandi miðlaði viðbótarupplýsingum í lánshæfismati, upplýsingar um lánshæfismat og áhrifaþætti, hvort viðkomandi væri skráður í áhættuhóp vegna stjórnmálalegra tengsla og fleira. Honum var þá jafnframt afhent skýrsla með útskýringu á lánshæfismati hans, sambærileg þeirri er honum var áður send, sbr. umfjöllun í efnisgrein 6 hér að framan.

Sjónarmið aðila

Helstu sjónarmið kvartanda

11. Kvartandi telur skýringar Creditinfo hafa sýnt að við gerð skýrslu um lánshæfi hans þann 23. nóvember 2023 hafi félagið sett nýja reglu um að tengingar við nýstofnað félag með takmarkaðri persónulegri ábyrgð leiði til lækkunar á lánshæfismati um a.m.k. einn flokk. Telur kvartandi skýra lagastoð hafa skort fyrir slíkri vinnslu. Áhrifaþátturinn „tengsl við nýstofnað félag“ hafi verið til lækkunar á lánshæfismati hans vegna skorts á upplýsingum um slík félög, samkvæmt skýringum Creditinfo. Þó hann hafi bætt úr því með sendingu ársskýrslu félagsins [X] ehf. til Creditinfo, sem hafi leitt til hækkunar á lánshæfismati þess, hafi lánshæfismat hans staðið óbreytt. Kvartandi telur jafnframt að Creditinfo hafi verið óheimilt að beita slíkri reglu með afturvirkum hætti. Nánar tiltekið hafi Creditinfo verið óheimilt að nýta gögn sem voru í gagnagrunni og skrám félagsins fyrir gildistöku reglugerðar nr. 606/2023 um vinnslu upplýsinga um fjárhagsmálefni og lánstraust þann 1. september 2023, líkt og félagið hafi gert í kjölfar uppfærslunnar 23. nóvember 2023.

12. Þá er það mat kvartanda að skortur hafi verið á gagnsæi við vinnslu persónuupplýsinganna í andstöðu við skilyrði 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sbr. 2. mgr. 5. gr. reglugerðar nr. 606/2023 og að engar upplýsingar hafi legið fyrir frá Creditinfo um hvaða reglur hafi gilt við vinnslu persónuupplýsinga við gerð lánshæfismats sem birtist í skýrslu um lánshæfi. Hvergi hafi komið fram að þátttaka í atvinnurekstri, svo sem að setjast í stjórn nýstofnaðs félags, gæti eitt og sér leitt til lækkunar á lánshæfismati skráðs einstaklings. Í þeim efnum væri ekki heldur að finna upplýsingar eða leiðbeiningar um hvernig væri hægt að bregðast við eða hve lengi umrædd lækkun ætti að gilda. Telur kvartandi að slíkar upplýsingar þurfi að liggja fyrir svo einstaklingar geti tekið upplýsta ákvörðun í tengslum við þátttöku í atvinnurekstri, s.s. við að koma að stofnun nýs félags.

13. Kvartandi telur jafnframt að Creditinfo hafi ekki fært viðhlítandi rök fyrir því að lánshæfismat kvartanda, þ.e. B1, sem hafi byggst á áðurnefndum tengslum við félagið [X] ehf., veiti réttasta mynd af fjárhagsstöðu og lánstrausti kvartanda. Með vísan til þess hafi Creditinfo því brotið gegn 2. mgr. 9. gr., sbr. 5. gr. reglugerðar nr. 606/2023 með vinnslunni.

14. Loks er það mat kvartanda að svör Creditinfo hafi ekki uppfyllt þær kröfur sem fram koma í 12. gr. reglugerðar nr. 606/2023. Creditinfo hafi ekki veitt umbeðnar upplýsingar innan tilskilins tíma né hafi rökstuðningur að baki vægi einstakra breytna verið fullnægjandi. Vísar kvartandi til þess að hann hafi fengið misvísandi skýringar frá Creditinfo í upphafi.

Helstu sjónarmið Creditinfo

15. Creditinfo vísar til þess að félagið hafi heimild til að vinna upplýsingar um tengsl kvartanda við félagið [X] ehf. við gerð lánshæfismats hans. Samkvæmt 3. mgr. mgr. 5. gr. reglugerðar nr. 606/2023 sé fjárhagsupplýsingastofu heimilt að vinna með upplýsingar sem hægt er að fá úr opinberum skrám. Í tilviki kvartanda hafi upplýsingar um tengsl hans við félagið [X] ehf. komið úr opinberri fyrirtækjaskrá Skattsins. Um sé að ræða upplýsingar sem séu uppfærðar daglega sem tryggi áreiðanleika þeirra, sbr. 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Áreiðanleiki upplýsinganna sé einnig tryggður enda hvíli skylda á þeim sem séu skráðir í fyrirtækjaskrá að tilkynna til Skattsins um breytingar á skráningu, sbr. 1. mgr. 7. gr. laga nr. 17/2023 um fyrirtækjaskrá. Ríkisskattstjóri hafi heimild samkvæmt 2. mgr. 125. gr. a. laga nr. 138/1991 um einkahlutafélög til að veita aðgang að persónugreinanlegum upplýsingum úr fyrirtækjaskrá og Creditinfo hafi samning við Skattinn um afnot af skránni.

16. Creditinfo telur einnig að skilyrði um lágmörkun gagna og nauðsyn miðað við tilgang samkvæmt sbr. 3. tl. 1. mgr. 8. gr. 90/2018 hafi verið uppfyllt. Tengsl kvartanda við félagið væru mikil og hefðu afgerandi þýðingu við mat á lánstrausti kvartanda í ljósi þess að fjárhagsstaða einstaklinga geti orðið fyrir áhrifum af félögum sem þeim tengjast. Þetta geti einkum átt við í tilvikum lítilla og nýrra félaga þar sem fáir aðilar séu eigendur og stjórnendur, þar sem fjármál einstaklings og félags geti skarast að einhverju leyti. Þessi miklu tengsl kvartanda við félagið geri notkun á upplýsingum úr fyrirtækjaskrá nauðsynlega til að mynda heildræna mynd af fjárhagsstöðu og lánstrausti hans.

17. Þá vísar Creditinfo til þess að vinnsla félagsins á persónuupplýsingum kvartanda hafi farið fram með sanngjörnum og gagnsæjum hætti, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Upplýsingar um tengsl kvartanda við lögaðila séu fengnar úr opinberum skrám sem tryggi gagnsæi við öflun þeirra. Lánshæfismat sé tölfræðilegt líkan sem sé beitt jafnt á alla einstaklinga og áhrifaþátturinn tengsl við fyrirtæki hafi þannig sömu áhrif á alla einstaklinga sem tengjast félögum í sama lánshæfisflokki og félagið [X] ehf. með sama hætti og kvartandi. Það stuðli að sanngirni í vinnslunni. Þá sé mikilvægt að matið sé byggt á áreiðanlegum og viðeigandi upplýsingum til að það sé gagnlegt og sanngjarnt fyrir alla hagsmunaaðila, m.a. tilvonandi lánveitendur.

18. Vísar Creditinfo til þess að upplýsingar um fyrirtækjatengsl veiti afgerandi og áreiðanlegar vísbendingar um líkindi þess að kvartandi muni efna lánssamning, sbr. 1. mgr. 5. gr. og 9. gr. reglugerðar nr. 606/2023. Almennt aukist líkur á því að einstaklingar sem séu jafntengdir félögum og kvartandi, lendi á vanskilaskrá á næstu 12 mánuðum, 180 falt (178x) á milli félaga sem eru í besta áhættuflokki (lánshæfismat 1) og versta áhættuflokki (lánshæfismat 10). Fyrir félög með sambærilegt lánshæfismat og [X] ehf. var með í október 2023, með lánshæfismat 5, hafi líkur einstaklinga á vanskilum, sem tengdust slíkum félögum, verið tæplega þrjátíufalt (29x) hærri en hjá einstaklingum sem tengdust félögum í besta hópnum. Vísar Creditinfo til þess að hópar fyrirtækja miðist ekki endilega við flokka í lánshæfi heldur líkur á vanskilum og því geti hóparnir náð yfir fleiri en einn lánshæfisflokk. Til dæmis hafi hópurinn sem félagið [X] ehf. var í verið samsettur af félögum með vanskilalíkur á bilinu 2,1% - 4%, sem séu félög sem séu neðarlega í lánshæfisflokki 4 og ofarlega í lánshæfisflokki 5. Ástæða þess að batnandi lánshæfismat félagsins [X] ehf. hafi ekki skilað sér í bættu lánshæfi kvartanda væri sú að vanskilalíkur félagsins hefðu ekki lækkað nægilega mikið til að koma félaginu í næsta hóp fyrir ofan. Við skoðun kvörtunarinnar hafi sérfræðingar Creditinfo komist að þeirri niðurstöðu að tækifæri væri til fjölga hópum í lánshæfismati tengdra félaga og tryggja þá að breyting á lánshæfi tengdra félaga skili sér örar í breytingu á lánshæfi tengdra einstaklinga. Sú uppfærsla á matinu hafi verið sett í loftið 26. ágúst 2024 og hafi strax haft þau áhrif á kvartanda að lánshæfismat hans batnaði smávægilega. Lánshæfismat félagsins [X] ehf. sé nú komið í talsvert betri hóp og áhrif þess á kvartanda talsvert jákvæð.

19. Í tengslum við athugasemdir kvartanda um að tengsl hans við félagið [X] ehf. hafi fyrst haft áhrif á lánshæfismat hans við uppfærslu Creditinfo á tölfræðilíkani lánshæfismatsins í nóvember 2023 er bent á að tengslin hafi strax haft áhrif þegar félagið hafi verið skráð í fyrirtækjaskrá. Áhrifaþátturinn „tengsl við fyrirtæki“ hafi verið hluti af áhrifaþáttum í lánshæfismati einstaklinga hjá Creditinfo frá upphafi og engin ný regla hafi því þar verið sett. Kvartandi hafi verið með lánshæfismatið A1 í júlí 2023 og daginn eftir hafi tengsl kvartanda við félagið [X] ehf. strax haft áhrif og lánshæfismat hans orðið A2. Við heildaruppfærsluna á reiknilíkaninu hafi lánshæfismat kvartanda lækkað í B1 í ljósi þess að breytan „tengsl við fyrirtæki“ hafi verið endurmetin líkt og gert sé reglulega. Áhrifaþátturinn hafi reglulega breyst í uppfærslum þegar reglulegt eftirlit sérfræðinga Creditinfo með frammistöðumælingum á tölfræðilíkaninu leiði í ljós að uppfærsla þess sé æskileg til að það skili sem áreiðanlegustu og tölfræðilega sterkustu lánshæfismati.

20. Þá telur Creditinfo sig hafa uppfyllt skyldur sínar um upplýsingagjöf gagnvart kvartanda samkvæmt 2. og 3. mgr. 12. gr. reglugerðar nr. 606/2023, sbr. 17. gr. laga nr. 90/2018, sbr. 1. mgr. 15. gr. og 12. gr. reglugerðar (ESB) 2016/679. Upplýsingagjöf í samskiptum Creditinfo og kvartanda hafa þegar verið rakin, sbr. umfjöllun í efnisgreinum 6-13 og vísast því til þess er þar kemur fram í þessu sambandi.

21. Að lokum hafnar Creditinfo sjónarmiðum um að óheimilt hafi verið að nýta gögn sem þegar voru til í gagnagrunnum félagsins fyrir gildistöku reglugerðar nr. 606/2023. Vísað er til þess að framangreind reglugerð setji ekki tímamörk fyrir notkun gagna, heldur kveði á um að upplýsingar skuli vera réttar, áreiðanlegar og viðeigandi, óháð aldri þeirra. Vinnsla slíkra gagna sé því heimil að því marki sem þau uppfylla framangreind skilyrði og hafi raunverulega þýðingu við mat á lánshæfi.

Forsendur og niðurstaða

Lagaumhverfi

22. Mál þetta lýtur að notkun Creditinfo á upplýsingum um tengsl kvartanda við félagið [X] ehf. við gerð lánshæfismats um hann. Auk þess lýtur málið að því hvort Creditinfo hafi gert viðeigandi ráðstafanir til að tryggja réttindi kvartanda til upplýsinga og aðgangs að persónuupplýsingum hans sem unnar voru hjá félaginu. Varðar það því vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og þar með valdsvið Persónuverndar, sbr. 2. mgr. 1. gr., 1. mgr. 4. gr. og 1. mgr. 39. gr. laganna.

23. Creditinfo telst vera ábyrgðaraðili vinnslunnar, sbr. 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. reglugerðar (ESB) 2016/679.

24. Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Í framkvæmd hefur vinnsla persónuupplýsinga í starfsemi Creditinfo almennt verið studd við vinnsluheimild byggða á nauðsyn vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, sbr. 6. tölul. 9. gr. laga nr. 90/2018 og f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.

25. Til þess að vinnsla geti talist heimil á grundvelli tilvitnaðra ákvæða þarf þremur skilyrðum að vera fullnægt. Í fyrsta lagi þarf vinnsla að fara fram í þágu lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir. Í öðru lagi þarf vinnslan að vera nauðsynleg í þágu hinna lögmætu hagsmuna. Í þriðja lagi mega hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga ekki vega þyngra en hinir lögmætu hagsmunir sem vísað er til. Með þriðja skilyrðinu er gerður áskilnaður um hagsmunamat, þar sem hinir lögmætu hagsmunir af því að vinnslan fari fram eru vegnir andspænis hagsmunum hins skráða.

26. Við mat á lögmæti vinnslu persónuupplýsinga verður einnig að líta til ákvæða í öðrum lögum og réttarheimildum sem við eiga hverju sinni.

27. Kemur til skoðunar í því sambandi skylda lánveitenda til að meta lánshæfi neytenda áður en gerður er samningur um neytendalán og fasteignalán, sbr. 10. og 11. gr., sbr. k-lið 5. gr. laga nr. 33/2013 um neytendalán, og 20. og 28. gr., sbr. 17. tölul. 4. gr. laga nr. 118/2016 um fasteignalán til neytenda.

28. Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins og a-liður reglugerðarákvæðisins); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi (2. tölul. lagaákvæðisins og b-liður reglugerðarákvæðisins); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilganginn (3. tölul. lagaákvæðisins og c-liður reglugerðarákvæðisins); að þær skuli vera áreiðanlegar (4. tölul. lagaákvæðisins og d-liður reglugerðarákvæðisins). Ábyrgðaraðili ber ábyrgð á því að vinnsla persónuupplýsinga uppfylli umræddar meginreglur og skal hann geta sýnt fram á það, sbr. 2. mgr. laga- og reglugerðarákvæðisins.

29. Kveðið var á um gerð skýrslna um lánshæfi einstaklinga í 3. gr. starfsleyfis Persónuverndar til Creditinfo, dags. 1. mars 2023, sem í gildi var á þeim tíma sem sú skýrsla, sem hér er til umfjöllunar, var gerð. Í 1. málsl. 1. mgr. 3. gr. starfsleyfisins sagði að fjárhagsupplýsingastofu væri heimilt, í samræmi við skilyrði 3. gr., að gera skýrslur um lánshæfi einstaklinga á grundvelli tölfræðilíkans sem mæti líkur á greiðslufalli og færslu upplýsinga á skrá um fjárhagsmálefni og lánstraust einstaklinga. Þá sagði í 1. málsl. 2. mgr. sama ákvæðis að fjárhagsupplýsingastofu væri heimilt að vinna með upplýsingar úr opinberum gögnum við gerð skýrslna um lánshæfi, auk upplýsinga sem hinn skráði samþykkti með óþvingaðri, sértækri, upplýstri og ótvíræðri viljayfirlýsingu að notaðar væru við gerð slíkra skýrslna.

30. Reglugerð nr. 606/2023 um vinnslu upplýsinga um fjárhagsmálefni og lánstraust var sett í gildistíð framangreinds starfsleyfis Creditinfo. Í 5. gr. reglugerðarinnar, þar sem fjallað er almennt um heimila vinnslu, segir að fjárhagsupplýsingastofu sé einungis heimilt að vinna með persónuupplýsingar sem séu áreiðanlegar og hafi afgerandi þýðingu við mat á fjárhagsstöðu og lánstrausti einstaklings eða lögaðila, sbr. 1. mgr. ákvæðisins. Í 2. mgr. sama ákvæðis segir að fjárhagsupplýsingastofa skuli tryggja að farið sé að öllum meginreglum um vinnslu persónuupplýsinga og geta á hverjum tíma sýnt fram á það, sbr. 8. gr. laga nr. 90/2018 og 5. gr. reglugerðar (ESB) 2016/679, þ. á m. að þær upplýsingar sem unnið er með og útreikningur á grundvelli þeirra veiti sem réttasta mynd af fjárhagsstöðu og lánstrausti viðkomandi og að ekki séu unnar aðrar upplýsingar en þær sem eru nauðsynlegar miðað við tilgang vinnslunnar. Í 1. mgr. 9. gr. reglugerðarinnar segir að fjárhagsupplýsingastofu sé heimilt að gera skýrslu um lánshæfi og miðla henni til þriðja manns. Í 2. mgr. sama ákvæðis segir að skýrsla um lánshæfi skuli byggjast á áreiðanlegum upplýsingum sem hafi afgerandi þýðingu og veiti áreiðanlegar vísbendingar um líkindi þess hvort viðkomandi einstaklingur eða lögaðili geti efnt lánssamning. Í 3. mgr. segir að við mat á lánshæfi einstaklings sé fjárhagsupplýsingastofu eingöngu heimilt að afla og vinna upplýsingar úr opinberum gögnum og skrám sínum skv. III. kafla og aðeins að því marki sem nauðsynlegt sé til að framkvæma áreiðanlegt mat. Sá kafli reglugerðarinnar kveður annars vegar á um skrá um opinberar gjörðir, sbr. 7. gr., og hins vegar vanskilaskrá, sbr. 8. gr. reglugerðarinnar.

31. Eins og áður kom fram lýtur kvörtunin jafnframt að því hvort upplýsingagjöf Creditinfo til kvartanda í tengslum við vinnslu persónupplýsinga hafi verið í samræmi við fyrirmæli laga.

32. Samkvæmt 2. mgr. 17. gr. laga nr. 90/2018 á skráður einstaklingur rétt til aðgangs að persónuupplýsingum um sig samkvæmt fyrirmælum 13.-15. gr. reglugerðar (ESB) 2016/679. Eins og áður hefur komið fram óskaði kvartandi eftir upplýsingum um lánshæfismat sitt þegar það lá fyrir hjá Creditinfo. Um rétt kvartanda til slíkra upplýsinga fer samkvæmt 15. gr. reglugerðarinnar um rétt skráðs einstaklings til aðgangs að upplýsingum. Í 1. mgr. reglugerðarákvæðisins er meðal annars kveðið á um að skráður einstaklingur skuli eiga rétt á að fá staðfestingu á því frá ábyrgðaraðila hvort unnar séu persónuupplýsingar sem varða hann sjálfan og, sé svo, rétt til aðgangs að upplýsingum um meðal annars eftirtalin atriði: tilgang vinnslunnar (a-liður); viðkomandi flokka persónuupplýsinga (b-liður); að fyrir liggi réttur til að fara fram á það við ábyrgðaraðila að láta leiðrétta persónuupplýsingar, eyða þeim eða takmarka vinnslu þeirra hvað hinn skráða varðar eða til að andmæla vinnslu (e-liður), ef persónuupplýsinga er ekki aflað hjá hinum skráða, allt sem fyrir liggur um uppruna þeirra (g-liður), og hvort fram fari sjálfvirk ákvarðanataka, þ.m.t. gerð persónusniðs sem um getur í 1. og 4. mgr. 22. gr. og a.m.k. í þeim tilvikum, marktækar upplýsingar um þau rök sem þar liggja að baki og einnig þýðingu og fyrirhugaðar afleiðingar slíkrar vinnslu fyrir hinn skráða (h-liður). Upplýsingar um aðgerðir sem gripið er til vegna beiðni samkvæmt 15. gr. reglugerðar (ESB) 2016/679, skal veita skráðum einstaklingi án ótilhlýðilegrar tafar og hvað sem öðru líður innan mánaðar frá viðtöku beiðninnar, sbr. 3. mgr. 12. gr. reglugerðarinnar.

33. Mælt er fyrir um skyldu ábyrgðaraðila til að gera viðeigandi ráðstafanir til að tryggja skráðum einstaklingi tilkynningar skv. 15.-22. gr. í tengslum við vinnslu á gagnorðu, gagnsæju, skiljanlegu og aðgengilegu formi og á skýru og einföldu máli, sbr. 1. mgr. 12. gr. reglugerðar (ESB) 2016/679. Samkvæmt 2. mgr. sama ákvæðis skal ábyrgðaraðili auðvelda skráðum einstaklingi að neyta réttar síns skv. 15.-22. gr. reglugerðarinnar. Af 63. lið formálsorða reglugerðar nr. 2016/679 má ráða að ábyrgðaraðili geti risið undir þeirri skyldu með því að gera skráðum einstaklingum kleift að njóta aðgangsréttar með fjaraðgangi að öruggu upplýsingakerfi.

34. Í 12. gr. reglugerðar nr. 606/2023 er jafnframt fjallað um upplýsinga- og aðgangsrétt hins skráða. Í 1. mgr. ákvæðisins kemur fram að fjárhagsupplýsingastofa skuli, sem fyrst og eigi síðar en 14 dögum eftir að sett er fram beiðni þar um, afhenda skráðum einstaklingi afrit þeirra upplýsinga sem eru í vinnslu samkvæmt reglugerðinni og upplýsingar um vinnsluna. Þá segir í 2. mgr. sama ákvæðis að hinn skráði eigi rétt á að kalla eftir upplýsingum frá fjárhagsupplýsingastofu um vægi breytna við útreikning á líkindum í skýrslu um lánshæfi hans og þau rök sem liggja þar að baki, sbr. 2. mgr. ákvæðisins. Loks er í 3. mgr. ákvæðisins vísað til þess að skráðir einstaklingar skuli að öðru leyti eiga rétt til aðgangs að upplýsingum sínum og fá allar þær upplýsingar um vinnslu þeirra sem greinir í 1. mgr. 15. gr. reglugerðar (ESB) 2016/679, sbr. 17. gr. laga nr. 90/2018.

35. Í starfsleyfi Creditinfo frá 1. mars 2023, sem var í gildi á þeim tíma er samskipti kvartanda við Creditinfo áttu sér stað, var loks vikið að upplýsinga- og aðgangsrétti hins skráða. Samkvæmt 1. mgr. 5.5. gr. leyfisins var fjárhagsupplýsingastofu hvenær sem var skylt að verða við ósk hins skráða um svör um vinnslu persónuupplýsinga um sig. Var framangreind regla í samræmi við upplýsinga- og aðgangsrétt hins skráða samkvæmt 1. og 2. mgr. 17. gr. laga nr. 90/2018 og 15. gr. reglugerðar (ESB) 2016/679.

Niðurstaða

Notkun upplýsinga um tengsl kvartanda við félag við gerð lánshæfismats

36. Í framkvæmd sinni hefur Persónuvernd að jafnaði litið svo á að vinnsla persónuupplýsinga sem fram fer í upplýsingakerfum Creditinfo, í tengslum við gerð skýrslna um lánshæfi, geti verið heimil á grundvelli 6. tölul. 1. mgr. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, sbr. úrskurð stofnunarinnar frá 18. desember 2025 í máli nr. 2025020669.

37. Til þess að heimilt sé að vinna með persónuupplýsingar á grundvelli tilvitnaðra ákvæða um lögmæta hagsmuni sem vinnsluheimild þurfa þrjú skilyrði að vera uppfyllt, sbr. umfjöllun í efnisgrein 30 hér að framan.

38. Við mat á því hvort fyrsta skilyrðinu er fullnægt, þ.e. hvort lögmætir hagsmunir ábyrgðaraðila eða þriðja manns séu fyrir hendi, hefur meginþýðingu hvort hagsmunirnir samrýmast gildandi rétti. Í framangreindu máli Persónuverndar nr. 2025020669 komst stofnunin að þeirri niðurstöðu að fullnægt hefði verið fyrsta skilyrði ákvæðisins að því er varðar hagsmuni Creditinfo af vinnslunni. Vísaði Persónuvernd til þess að um viðskiptahagsmuni Creditinfo væri að ræða sem ekki yrði séð að væru andstæðir lögum, sbr. nánari umfjöllun í efnisgrein 28 í þeim úrskurði. Persónuvernd telur sömu sjónarmið og rakin eru í framangreindum úrskurði eiga við í því máli sem hér er til umfjöllunar, með fyrirvara um þau frekari skilyrði sem þessir hagsmunir þurfa að fullnægja.

39. Við mat á því hvort annað skilyrði ákvæðisins teljist uppfyllt, þ.e. hvort vinnsla upplýsinga um tengsl kvartanda við félagið [X] ehf. hafi verið nauðsynleg í þágu hinna lögmætu hagsmuna, telur Persónuvernd ljóst að vinnsla persónuupplýsinga við gerð skýrslna um lánshæfi sé grundvöllur þess að Creditinfo geti veitt lánveitendum þjónustu í tengslum við lagaskyldu sem á þeim hvílir til að meta lánshæfi neytenda, sbr. 10. og 11. gr. laga nr. 33/2013 og 20. og 28. gr. laga nr. 118/2016. Þá áskilur 2. mgr. 9. gr. reglugerðar nr. 606/2023 að skýrsla fjárhagsupplýsingastofu um lánshæfi sé reist á áreiðanlegum upplýsingum sem hafi afgerandi þýðingu og veiti áreiðanlegar vísbendingar um líkindi þess að viðkomandi einstaklingur eða lögaðili geti efnt lánssamning. Slíkar vísbendingar geta komið fram í viðskiptasögu eða upplýsingum úr gagnagrunnum um fjárhagsmálefni og lánstraust, sbr. til hliðsjónar k-lið 5. gr. laga nr. 33/2013 og 17. tölul. 4. gr. laga nr. 118/2016. Hvað framangreint varðar telur Persónuvernd verða að líta til skýringa Creditinfo um verulega auknar líkur á vanskilum hjá þeim einstaklingum sem tengdust félögum í sama flokki og félagið [X] ehf., sbr. nánar í efnisgrein 18 hér að framan. Er því fallist á að vinnsla upplýsinga um tengsl kvartanda við félagið [X] ehf. geti verið Creditinfo nauðsynlegar í þágu lögmætra hagsmuna félagsins af gerð skýrslu um lánshæfi hans.

40. Við mat á lögmætum hagsmunum af vinnslu andspænis hagsmunum hins skráða, samkvæmt þriðja skilyrði beitingar vinnsluheimildarinnar, verður auk framangreinds að líta til almannahagsmuna af ábyrgum lánveitingum og hindrun á óhóflegri skuldsetningu neytenda. Þessir almannahagsmunir fara saman með áðurnefndum hagsmunum lánveitenda af að geta farið að neytendalöggjöf og þeim viðskiptahagsmunum Creditinfo sem því tengjast. Jafnframt ber hins vegar að líta til hagsmuna hins skráða af því að hafa aðgengi að lánafyrirgreiðslu án verulega íþyngjandi takmarkana, t.d. aukins vaxtaálags, en slíkt getur verið fólki mikilvægt í daglegu lífi, þ. á m. vegna húsnæðisöryggis og óvæntra útgjalda sem upp geta komið. Getur það einnig fallið undir almannahagsmuni að hugað sé að slíku en nefna má að samkvæmt norrænni réttarframkvæmd er hliðstæð vinnsla og hér er til umfjöllunar álitin geta verið heimil á grundvelli e-liðar 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, enda byggist hún þá jafnframt á ítarlegum lagaákvæðum, sbr. 3. mgr. sömu greinar, gagnstætt því sem er hér á landi.

41. Í tengslum við framangreint hagsmunamat verður einnig að líta til meginreglna 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679, sbr. umfjöllun í efnisgrein 34, með hliðsjón af þeim umkvörtunarefnum sem fram koma í kvörtun.

42. Varðandi skilyrði 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um sanngirni, liggur fyrir að tölfræðilíkan sem Creditinfo notar við gerð skýrslna um lánshæfismat einstaklinga er beitt með samræmdum hætti gagnvart öllum þeim einstaklingum sem fá reiknað lánshæfismat. Varðandi skilyrði 3. tölul. 1. mgr. 8. gr. sömu laga um lágmörkun gagna og nauðsyn miðað við tilgang, er það mat Persónuverndar að tilgangur vinnslunnar telst nægilega skýrt afmarkaður með vísan til laga nr. 33/2013 og 118/2016 og reglugerðar nr. 606/2023, líkt og rakið er í efnisgreinum 33, 35 og 36. Í því ljósi, og með hliðsjón af skýringum Creditinfo um tengsl kvartanda við félagið [X] ehf., telur Persónuvernd að notkun upplýsinga úr fyrirtækjaskrá um slík tengsl geti verið nauðsynleg og þýðingarmikil við mat á lánstrausti kvartanda.

43. Til þess er loks að líta að Persónuvernd hefur áður tekið afstöðu til þess hvort Creditinfo hafi verið heimilt að notast við upplýsingar um tengsl skráðra einstaklinga við félög við mat á lánshæfi hans. Annars vegar vísast í þessu sambandi til úrskurðar stofnunarinnar, dags. 11. september 2020, í máli nr. 2020010592. Kvartandi í því máli var einn eigenda félags sem skráð var á vanskilaskrá. Í úrskurðinum komst Persónuvernd að þeirri niðurstöðu að vinnsla upplýsinga þar að lútandi hefði átt stoð í 6. tölul. 9. gr. laga nr. 90/2018 og að ekki hefði verið farið gegn kröfum 8. gr. sömu laga um meðal annars sanngirni, meðalhóf og áreiðanleika við vinnslu persónuupplýsinga. Taldi Persónuvernd eignarhald kvartanda í félaginu leiða til þess að ekki væri óeðlilegt að tekið væri mið af fjárhagsstöðu þess við mat á greiðsluvilja og skilvísi kvartanda sjálfs. Taldi stofnunin því að slíkar upplýsingar hefðu umtalsverða þýðingu við mat á fjárhag og lánstrausti kvartanda, sbr. orðalag í 1. mgr. 3. gr. þágildandi reglugerðar nr. 246/2001, og að notkun þeirra við gerð skýrslna um lánshæfi kvartanda samrýmdist tilganginum með gerð lánshæfismats. Hins vegar vísast í þessu sambandi til úrskurðar Persónuverndar, dags. 28. janúar 2021, í máli nr. 2020010675. Þar reyndi jafnframt á vinnslu Creditinfo á upplýsingum um tengsl kvartanda við tiltekið félag við gerð skýrslna um lánshæfis hans. Í málinu vísaði Persónuvernd meðal annars til þess að upplýsingar um stöðu fyrirtækja, sem hinn skráði tengdist, þ.e. um lánshæfiseinkunn þeirra og hvort þau væru skráð á vanskilaskrá, yrði að telja hafa afgerandi þýðingu við mat á fjárhagi hans og lánstrausti væru tengslin sterk. Kvartandi í málinu var prókúruhafi, stjórnarmaður og 100% eigandi að viðkomandi félagi og var það því niðurstaða Persónuverndar að vinnslan hefði samrýmst lögum nr. 90/2018. Með vísan til framangreinds, og að teknu tilliti til tengsla kvartanda í fyrirliggjandi máli við félagið [X] ehf., sem rakin eru í efnisgrein 4, fær Persónuvernd ekki séð að hagsmunir kvartanda hafi gengið framar þeim hagsmunum sem Creditinfo hafði af vinnslunni.

44. Kemur loks til skoðunar það umkvörtunarefni að Creditinfo hafi beitt reglugerð nr. 606/2023 með afturvirkum hætti við þá uppfærslu reiknilíkans síns, sem hér er til umfjöllunar. Persónuvernd hefur áður hafnað efnislega hliðstæðum málatilbúnaði, sbr. efnisgrein 33 í fyrrgreindum úrskurði stofnunarinnar í máli nr. 2025020669, og telur sömu sjónarmið eiga við í fyrirliggjandi máli.

45. Að öllu framangreindu gættu er það niðurstaða Persónuverndar að vinnsla Creditinfo á upplýsingum um tengsl kvartanda við félagið [X] ehf., í þágu gerðar skýrslu um lánshæfi hans, hafi verið heimil á grundvelli 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Auk þess er það mat Persónuverndar að við vinnsluna hafi ekki verið farið gegn meginreglum 1. mgr. 8. gr. laganna, sbr. 1. mgr. 5. gr. reglugerðarinnar um sanngirni, meðalhóf og áreiðanleika.

Upplýsingaskylda Creditinfo

46. Eins og komið hefur fram gerir kvartandi athugasemdir við upplýsingagjöf Creditinfo í kjölfar beiðni hans um nánari skýringar á lánshæfismati sínu. Í því sambandi þarf að leggja mat á hvort skýringar og viðbrögð Creditinfo vegna athugasemda kvartanda, sem meðal annars eru rakin í efnisgreinum 5-10 hér að framan, hafi uppfyllt skilyrði er lúta að rétti kvartanda til upplýsinga og aðgangs að persónuupplýsingum sínum samkvæmt ákvæðum laga nr. 90/2018, reglugerðar (ESB) 2016/679 og reglugerðar nr. 606/2023, sbr. umfjöllun þar að lútandi í efnisgreinum 31-35 hér að framan.

47. Að mati Persónuverndar sýna gögn málsins að Creditinfo brást við beiðni kvartanda um skýringar um lánshæfismat hans innan 14 daga, meðal annars með því að afhenda honum skýrslu sem sýndi áhrifaþætti og vægi þeirra í lánshæfismati hans, auk almennra skýringa um lánshæfismat einstaklinga. Að auki var honum bent á vefsíðu og þjónustuvef félagsins, þar sem nánari upplýsingar var að finna, s.s. um þær persónuupplýsingar kvartanda sem væru í vinnslu hjá Creditinfo, um áhrifaþættina og um réttindi hans í tengslum við gerð skýrslu um lánshæfismat hans, þ.m.t. vegna tengsla við félag. Á vefsíðu Creditinfo voru jafnframt birtar almennar upplýsingar um uppfært lánshæfismat einstaklinga, með útskýringum um áhrif þeirrar uppfærslu.

48. Að mati Persónuverndar má fallast á það með kvartanda að upplýsingagjöf Creditinfo til hans í tölvupóstsamskiptum varðandi áhrifaþáttinn „lýðfræði“, sbr. umfjöllun í efnisgreinum 8-10 hér að framan, hafi mátt vera skýrari. Þrátt fyrir það verður ekki talið að með því hafi Creditinfo brotið gegn áskilnaði 1. mgr. 12. gr. reglugerðar (ESB) 2016/679 um að upplýsingar séu veittar á gagnorðu, gagnsæju, skiljanlegu og aðgengilegu formi og skýru og einföldu máli, einkum að teknu tilliti til upplýsingagjafar Creditinfo til kvartanda um áhrifaþáttinn að öðru leyti.

49. Með vísan til alls framangreinds verður talið að Creditinfo hafi uppfyllt skyldur um upplýsingagjöf til kvartanda um vinnslu persónuupplýsinga hans samkvæmt 12. gr. og 15. gr. reglugerðar (ESB) 2016/679 og 1. og 2. mgr. 12. gr. reglugerðar nr. 606/2023.

Ú r s k u r ð a r o r ð:

Vinnsla Creditinfo Lánstrausts hf. á persónuupplýsingum um tengsl [A] við félagið [X] ehf., við gerð skýrslu um lánshæfismat hans, var heimil samkvæmt 6. tölul. 9. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, og samrýmdist 1. mgr. 8. gr. laganna, sbr. 1. mgr. 5. gr. reglugerðarinnar.

Upplýsingagjöf Creditinfo Lánstrausts hf. til [A] um vinnslu persónuupplýsinga hans samrýmdist 12. gr. og 15. gr. reglugerðar (ESB) 2016/679 og 1. og 2. mgr. 12. gr. reglugerðar nr. 606/2023 um vinnslu upplýsinga um fjárhagsmálefni og lánstraust.

Persónuvernd, 2. febrúar 2026

Bjarni Freyr Rúnarsson Inga Amal Hasan