Høring - forslag til lov om registrering av enkeltpersoners gjeld (gjeldsregisterloven)

• Høringsbrev

  Vår ref.: 16/3230

  Høring av forslag til lov om registering av enkeltpersoners gjeld (gjeldsregisterloven)

  Barne- og likestillingsdepartementet sender med dette forslag til lov om registering av enkeltpersoners gjeld på høring.

  Departementet ber om høringsinstansenes uttalelser innen tirsdag 6. desember 2016.

  Høringsuttalelser bør fortrinnsvis avgis digitalt på departementets hjemmeside ved å trykke på feltet markert med «Send inn høringssvar». Her kan man registrere seg, mellomlagre en uttalelse og laste opp vedlegg. Alternativt kan høringssvar sendes Barne- og likestillingsdepartementet per e-post til: postmottak@bld.dep.no.   

  Vi gjør oppmerksom på at alle høringsuttalelser er offentlige etter offentlighetsloven og vil bli publisert løpende sammen med øvrige høringsuttalelser.

  Eventuelle spørsmål i saken kan rettes Egil Rokhaug på ero@bld.dep.no eller 22 24 24 80.

  Med hilsen                                                                   

  Hege Nygård (e.f.)

  Ekspedisjonssjef

                                                                                            Hilde Merethe Berg

                                                                                            Avdelingsdirektør

• Høringsnotat

  Høringsnotat 

Utdrag:

Lov om registrering av enkeltpersoners gjeld (gjeldsregisterloven)

1 Høringsnotatets hovedinnhold

Barne- og likestillingsdepartementet legger med dette frem forslag til lov om registrering av enkeltpersoners gjeld (gjeldsregisterloven). Formålet med loven er å legge til rette for mer presise kredittvurderinger, for å bidra til at færre husholdninger havner i gjeldsproblemer. Forslaget åpner for at det etter særskilt tillatelse kan etableres egne foretak (gjeldsregistre), som skal motta, registrere og utlevere gjeldsopplysninger til bruk ved kredittvurdering. Opplysningene som skal registreres er usikrede kreditter (typisk kredittkortgjeld og forbrukslån). Det foreslås at finansforetakene skal være pliktige til å gi fra seg slik informasjon til et gjeldsregister. Kundeopplysninger av denne art er underlagt taushetsplikt etter finansforetaksloven.

Det foreslås derfor også nødvendige lovendringer slik at opplysningene kan utleveres uhindret av taushetsplikt. Etter gjeldende rett kan ikke gjeldsopplysninger brukes i kredittopplysningsvirksomhet. Det vil derfor bli foreslått forskriftsendringer som åpner adgang for kredittopplysningsforetak til å innhente gjeldsopplysninger fra gjeldsregisteret, samt å bruke disse ved utarbeidelse av kredittopplysninger (creditscore). Kredittopplysningsselskapene skal imidlertid ikke kunne utlevere gjeldsopplysninger direkte. Det er det bare gjeldsregister som kan gjøre.

[...]

8 Personvernmessige konsekvenser av forslaget

8.1 Generelle bemerkninger

Behandling og utveksling av personopplysninger er en nødvendig forutsetning for et moderne, effektivt og velfungerende samfunn. Ved siden av å gi gode, sikre og lett tilgjengelige tjenester for publikum, kan tilgang på slike opplysninger også bidra til å forebygge og avverge uønskede hendelser. Men det er viktig å sikre at opplysningene blir brukt til formålet, og at de ikke kommer i gale hender.

Personvern er et uttrykk for den enkeltes og samfunnets behov for beskyttelse av den personlige integritet. Enhver skal i utgangspunktet kunne bestemme over hva andre skal få vite om deres personlig forhold. Personvern i denne sammenhengen kan dermed også kalles "personopplysningsvern". Det er også på dette området man finner den sterkeste lovfestede beskyttelse, for eksempel i personopplysningsloven, i reglene om taushetsplikt osv.

Personvernregelverket skal bl.a. sikre at det ikke behandles flere opplysninger enn det som er nødvendig for et konkret formål, og at det bare behandles opplysninger for formål som er legitime. Videre skal personopplysningene være korrekte, fullstendige, relevante og tilstrekkelige for det enkelte formål. Likevel kan ikke selvbestemmelsesretten være uinnskrenket. I noen tilfeller kan samfunnets interesser veie tyngre enn hensynet til den enkeltes integritet og interesse i å verne om sin person. Viktige mothensyn kan være nødvendigheten av å utøve sentrale samfunnsfunksjoner som kriminalitetsforebygging og kontrollvirksomhet.

Behandling av personopplysninger kan også være i den registrertes egen interesse. Slik er det ofte ved gjenbruk av personopplysninger, hvor for eksempel brukere av offentlige tjenester slipper å gi samme opplysninger flere ganger, eller slipper helt å gi opplysninger, fordi disse allerede er tilgjengelige. Dette gir også store samfunnsmessige effektivitetsgevinster, for eksempel innenfor offentlig forvaltning. Et godt eksempel her er likningsforvaltningen, hvor effektiv flyt av personopplysninger medfører at de fleste i dag slipper å levere selvangivelse.

Et tiltak som innebærer inngrep i personvernet, må etter dette fra sak til sak veies opp mot relevante samfunnshensyn og andre interesser. Dette omtales i personvernsammenheng som forholdsmessighetsprinsippet, og vurderingen som gjøres i denne sammenhengen betegnes som forholdsmessighets- eller proporsjonalitetsvurderingen. Sentrale elementer i denne vurderingen vil være hvor sensitive opplysninger det er tale om å behandle, hvor stor integritetskrenkingen mot den registrerte er, samt hvor tungtveiende samfunnsinteresser eller andre interesser man søker å verne. Ulike samfunnsinteresser vil her ha ulik vekt. Økonomiske interesser vil normalt ha mindre vekt enn vern av liv og helse, men også økonomiske interesser kan være tungtveiende dersom de økonomiske utslagene er store.

En vurdering av personvernmessige konsekvenser vil oftest også måtte omfatte flere alternative løsninger til det som vurderes iverksatt. Dersom det finnes alternativer som er mindre inngripende personvernmessig og som ivaretar det aktuelle formålet bedre eller like godt, skal disse som utgangspunkt velges. Videre må tiltaket ikke være mer inngripende enn det som er nødvendig for å verne de aktuelle samfunnsinteressene. Det må derfor undersøkes hva som kan gjøres for å begrense personvernmessige ulemper ved tiltaket. Dette kan for eksempel være krav om kryptering av opplysninger som skal utveksles, tilgangskontroll, ulike krav om informasjonsavgrensing og liknende.

Et aktuelt eksempel på en proporsjonalitetsvurdering er de avveininger som ligger bak adgangen til å bruke opplysninger om negative betalingsanmerkninger i kredittopplysning. Hensynet til omsetningslivets sikkerhet og til å verne finansforetak og andre deler av næringslivet mot tap ble ansett som mer tungtveiende enn hensynet til den opplysningen angår. Som ledd i å begrense de personvernmessige ulempene ved tiltaket, ble det bestemt at tilgangen til slike opplysninger skulle begrenses til den som har saklig grunn. Som et ytterligere tiltak for å verne mot misbruk, skal den det er utlevert slike opplysninger om, ha en gjenpart av det som er opplyst, samt informasjon om hvem som bedt om opplysningene.

På bakgrunn av at personvern har vært sterkt framme i debatten om gjeldsregistrering, finner departementet det nødvendig å drøfte de mest sentrale personvernspørsmål registrering av usikret kreditt reiser, noe mer inngående enn hva som ellers ville ha vært nødvendig. Dette gjelder særlig om tiltaket vil være proporsjonalt i forhold til de personverninngrep det medfører. Det gis også en redegjørelse for departementets syn på tiltakets forhold til andre viktige personvernhensyn, som kravene til fullstendighet og samtykke, samt hvilke alternative tiltak som er vurdert.

8.2 Om tiltaket har vesentlige personvernkonsekvenser

En utredning skal inneholde en innledende redegjørelse for antatte vesentlige konsekvenser av den beslutning som foreslås truffet. Dette innebærer at det innledningsvis i utredningsarbeidet må foretas en overordnet vurdering av om tiltaket har vesentlige personvernkonsekvenser. Denne innledende vurdering vil ikke være så grundig som hovedutredningen av personvernkonsekvensene, men vurderingstemaet er langt på vei det samme. Vurderingen av om et tiltak har vesentlige personvernmessige konsekvenser vil dermed i praksis være en "forenklet personvernvurdering".

Ved den forenklede vurderingen av om tiltaket har vesentlige personvernkonsekvenser, har departementet tatt utgangspunkt i at opplysninger om forbrukskreditt ikke kan anses som sensitive, jf. personopplysningsloven § 2. Den type opplysninger det er tale om å registrere, trekker bare i liten grad i retning av at tiltaket kan ha vesentlige konsekvenser for personvernet. Heller ikke opplysningskvaliteten og opplysningens detaljeringsgrad gir grunnlag for å mene at tiltaket er vesentlig mht. personvernkonsekvenser.

Et annet kriterium er hvor omfattende behandling det legges opp til, herunder antallet personer det er tale om å registrere, antallet opplysninger om den enkelte og om det er fare for uhjemlet kopling opp mot andre registre eller bruk utenfor formålet. Det er også av betydning i hvilken grad den registrerte har selvbestemmelsesrett vedrørende registreringen, samt om denne er kjent med behandlingen av opplysningene. Departementet har kommet til at heller ikke disse momentene gir grunn til å anta at tiltaket har så vesentlige personvernmessige konsekvenser at det foreligger en plikt til å foreta en særskilt konsekvensutredning av tiltaket.

8.3 Tiltakets proporsjonalitet

8.3.1 Proporsjonalitetsprinsippet

Proporsjonalitetsprinsippet har lenge vært et sentralt prinsipp på en rekke rettsområder. Ved behandling av personopplysninger består dette prinsippet av tre kumulative forhold om tiltaket er (1) relevant, (2) nødvendig og (3) om det er proporsjonalt i relasjon til det formål som søkes oppnådd.20 Ved vurderingen av om gjeldsregistrering er proporsjonalt, vil den sentrale vurderingen være hvorvidt tiltaket er for inngripende personvernmessig sett i forhold til behovet for å begrense gjeldsproblemene i private hushold. Fordelene med tiltaket må være større enn de personvernmessige ulempene dersom tiltaket skal være proporsjonalt. Det må altså gjøres en avveining av om belastningen ved å få sin gjeld registrert, faren for misbruk eller spredning av opplysningene mv., står i et rimelig forhold til nytten av å avverge at private hushold blir forgjeldet.

Departementet antar at det som utgangspunkt ikke medfører noen personvernmessig belastning av nevneverdig betydning for den enkelte å få sine forbrukskreditter registrert i et eget register. Gjeldsforpliktelser registreres i stort omfang allerede, uten at dette, etter det departementet kjenner til, på noen måte anses som personvernkrenkende for den som er registrert. I tillegg til

20 Schartum & Bygrave, Personvern i informasjonssamfunnet, 3. utg. 2015 side 118.

de enkelte finansforetakenes kunderegistre finnes det også en rekke registre over gjeld andre steder, for eksempel:

- Skattedirektoratets register over gjeldsforpliktelser til bruk ved skattelikningen

- Grunnbokens register over pantegjeld i bolig

- Løsøreregisterets register over pantesikrede lån i motorkjøretøyer

- Kredittopplysningsforetakenes register over misligholdte forpliktelser

Disse registrene gir riktignok ikke spesifikk informasjon om gjeldens størrelse til enhver tid, men både Løsøreregisteret og Grunnboka er til gjengjeld åpne for allmenheten.

8.3.2 Risiko for misbruk, spredning og taushetsbrudd

Det må også vurderes om risikoen for misbruk, spredning eller uhjemlet kopling opp mot andre registre er så stor at tiltaket ikke står i forhold til den nytten som kan oppnås. Med risiko forstås her både faren for at noe skal skje, og konsekvensene at det skjer. Etter forslaget skal gjeldsopplysningene i første omgang utleveres fra det enkelte finansforetak til et spesialforetak med offentlig tillatelse til å drive gjeldsregistrering. Foretaket må både ha godkjenning fra departementet som gjeldsregister, samt fra Datatilsynet som ansvarlig behandler av personopplysninger.

Brudd på regelverket, herunder taushetsbrudd, kan medføre straffeansvar for både ledelse og ansatte. Det foreslås dessuten å stille strenge krav til kvalifikasjoner og vederheftighet til eiere og ledelse av registerforetak. I tillegg vil slike foretak stå under myndighetstilsyn. På denne bakgrunn synes det å være svært liten risiko for at opplysninger skal bli misbrukt eller komme på avveie. Departementet finner klart å kunne legge til grunn at finansforetakene har systemer for å avgi gjeldsopplysninger på en trygg og sikker måte. De har også lang erfaring med utlevering av kundeopplysninger til ulike formål. Bl.a. rapporteres kundeopplysninger jevnlig til ulike offentlige etater som Skatteetaten, Statistisk sentralbyrå, Finanstilsynet osv.

Det gis også opplysninger til andre finansforetak i forbindelse med gjennomføring av kundeoppdrag o.l. Det er et lovfestet krav at finansforetak skal ha kontrollordninger for å sikre at slike opplysninger blir behandlet på en betryggende måte, og at uvedkommende ikke får kjennskap eller tilgang til opplysningene, jf. blant annet finansforetaksloven § 16-2 fjerde ledd. Brudd på disse reglene er belagt med straff. Departementet er ikke kjent med at det har forekommet sikkerhetsproblemer av betydning knyttet til utlevering av personopplysninger i finansforetak.

Gjeldsregisterforetaket skal etter forslaget kunne utlevere gjeldsopplysninger til kredittopplysningsforetak samt til finansforetak, Husbanken og kommunene til bruk i kredittvurdering i forbindelse med en konkret kredittsøknad. Departementet finner å kunne legge de samme betraktninger som for finansforetakene til grunn når det gjelder kredittopplysningsforetakenes behandling av personopplysninger. Også disse er regulert av et strengt regelverk, og har lang erfaring i å håndtere personopplysninger. Den videre utlevering til finansforetak ved kredittvurdering vil være særlig uproblematisk, idet dette vil være en "pakke" i form av en kredittscore, som ikke inneholder selve gjeldsinformasjonen.

Det er heller ingen grunn til å tro at Husbanken eller kommunenes saksbehandlere for startlån ikke vil behandle gjeldsopplysninger forsvarlig. Dette er offentlige etater/myndigheter, som også er underlagt strenge regler om taushetsplikt.

Etter dette finner departementet at det kan legges til grunn at faren for misbruk, spredning, taushetsbrudd eller rettstridig kopling opp mot andre registre er så vidt liten at tiltaket av den grunn ikke kan sies å stå i et misforhold til samfunnsnytten.

[...]

8.7 Opplysningenes karakter

Opplysninger om gjeldsforhold anses ikke som sensitive personopplysninger, jf. personopplysningsloven § 2, og er dermed ikke underlagt noe særskilt vern i denne loven. Det er likevel tale om opplysninger som er underlagt taushetsplikt i finansforetakene, og som mange mener er beskyttelsesverdige. I en undersøkelse utført av Transportøkonomisk Institutt fra 2005 svarte ca. halvparten av de spurte at det er "veldig viktig" å beskytte opplysninger om personlig økonomi, mens den andre halvparten mente det var "litt viktig", "lite viktig" eller "helt uviktig". I hvilken grad denne oppfatningen kan overføres til opplysning om eksisterende forbrukskreditt er usikkert. Registreringen og den åpne tilgangen av opplysninger om pantesikret forbrukskreditt som allerede skjer, f.eks. i Løsøreregisteret, anses etter det departementet kjenner til heller ikke å være problematisk i forhold til personvernhensyn. Når det tilflyter ny informasjon, vil opplysninger som da blir utdaterte, umiddelbart bli sperret eller slettet.

[...]

8.11 Innsyn og gjenpart

Den registrerte vil på ethvert tidspunkt kunne kreve innsyn i de opplysninger som er registrert om seg, jf. personopplysningsloven § 18. Den registrerte vil også motta kopi ved utlevering av gjeldsopplysningene, tilsvarende som ved ordinær kredittopplysningsvirksomhet i dag, jf. personopplysningsforskriften § 4-4. Det antas etter dette at personverninteressene til den registrerte ved en registreringsordning for forbrukskreditt er godt ivaretatt når det gjelder informasjon. Se også omtalen i punkt 7.8 foran.

8.12 Sletting av opplysninger

Personopplysninger skal slettes når det ikke lenger er bruk for dem. Det vises her til personopplysningslovens forbud mot å lagre unødvendige opplysninger, jf. § 28, hvoretter den behandlingsansvarlige ikke skal "lagre personopplysninger lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen". Opplysninger om gjeldsforhold vil det være bruk for så lenge det består et gjeldsforhold eller en trekkmulighet. Det legges derfor til grunn at opplysningene om et kredittengasjement blir slettet når kreditten er innfridd dersom det er tale om et nedbetalingslån. Ved rammekreditter som når som helst kan gjøres effektive ved belastning, for eksempel kredittkort, vil registreringen måtte bestå frem til engasjementet er avsluttet. Det vil være registrert dersom kredittrammen ikke er benyttet og/eller kreditten er nedbetalt. Det er reist spørsmål om opplysningene bør lagres av hensyn til etterfølgende dokumentasjonskrav i forbindelse med spørsmål om fraråding mv. Dette kan imidlertid løses ved at den enkelte finansinstitusjon lagrer opplysninger om grunnlaget for kredittvurderingen, herunder dokumentasjon av hvilken informasjon som var tilgjengelig og som ble hentet ut da kredittvurderingen ble gjort.

8.13 Virkemidler som kan begrense personvernmessige inngrep

De registrerte opplysningene er beskyttet og begrenset så langt det er mulig innenfor det formål de skal brukes til. Det vil kun være tale om å registrere opplysninger som er relevante og nødvendige for å realisere formålet med tiltaket. Samtidig vil tilgangen være begrenset, ved at bare kredittopplysningsforetak og finansforetak vil ha direkte tilgang til opplysningene. Når de bearbeidede opplysningene utleveres som en kredittopplysning, vil de ikke være synlig annet enn ved at de danner grunnlaget for creditscore. Krav om samtykke fra den registrerte har vært vurdert, men ikke funnet verken praktisk eller hensiktsmessig, jf. punkt 8.5 foran. Informasjon som sendes over nettet vil være kryptert. Det antas ikke å være personvernproblematikk knyttet til dette.

[...]