10 Frivillig sperre mot utlevering av kredittopplysninger

10.1 Gjeldende rett

Det følger av gjeldende kredittopplysningskonsesjon at de registrerte skal ha mulighet til å sperre seg mot kredittvurdering. I praksis betyr dette at kredittopplysninger er registrert, men ikke kan utleveres. Dersom det etterspørres opplysninger om en registrert som har sperret seg mot kredittvurdering, er det bare informasjon om kredittsperren som kan utleveres.

10.2 Forordningen

Forordningen artikkel 21 nr. 1 åpner for at de registrerte kan motsette seg visse behandlinger av personopplysninger, blant annet slike behandlinger som har grunnlag i artikkel 6 nr. 1 bokstav e. Det er nettopp denne bestemmelsen som vil være det rettslige grunnlaget for regulering av behandling av opplysninger i kredittopplysningsvirksomhet. Etter forordningen artikkel 6 nr. 3 jf. nr. 1 bokstav e kan det i nasjonal rett fastsettes særskilte bestemmelser for å sikre lovlig og rettferdig behandling.

10.3 Forslaget i høringsnotatet

Departementet gikk i høringsnotatet inn for å lovfeste dagens praksis med at fysiske personer kan motsette seg at opplysninger om dem utleveres i kredittopplysningsvirksomhet, gjerne omtalt som en frivillig sperre mot kredittvurdering. Forslaget gikk ut på at dersom en person sperrer sin identitet mot kredittvurdering, vil det kun være opplysninger om kredittsperren som kan utleveres ved forespørsel om kredittopplysning. Det vil ikke kunne utleveres kredittvurderinger eller kredittopplysninger om vedkommende, og opplysningene vil ikke kunne brukes som grunnlag for å vurdere om det skal ytes kreditt. Det ble i høringsnotatet lagt til grunn at konsekvensen av en kredittsperre ville være at den registrerte ikke blir ytt kreditt. Forslaget var likevel ikke til hinder for at det registreres opplysninger om vedkommende i kredittopplysningsregisteret.

Departementet foreslo i høringsnotatet at adgangen til å registrere kredittsperre bare skulle gjelde for registrerte fysiske personer. Men også juridiske personer kan ha interesse av å registrere kredittsperre. Departementet ba derfor om høringsinstansenes syn på hvorvidt også juridiske personer bør ha adgang til å registrere frivillig kredittsperre.

10.4 Høringsinstansenes syn

Både Forbrukertilsynet og Datatilsynet er positive til lovfesting av adgangen til å sperre seg mot kredittvurdering. Begge høringsinstansene tar til orde for en enklere sperreløsning enn dagens ordning, ved at det etableres ett felles kontaktpunkt eller et sentralt sperreregister. Finansdepartementet tar til orde for et offentlig sperreregister, og mener dette bør være tilknyttet Brønnøysundregistrene. Norske kredittopplysningsbyråers forening er også positiv til en frivillig sperre mot kredittvurdering, og mener ordningen også kan omfatte juridiske personer. Foreningen mener en ordning med frivillig kredittsperre i liten grad vil hindre effektiv kredittgivning. Høringsinstansen opplyser i sitt høringssvar dessuten at bransjen selv arbeider for å etablere et sentralt sperreregister, slik enkelte høringsinstanser har etterlyst. Norske kredittopplysningsbyråers forening påpeker samtidig at det er behov for et unntak fra kredittsperren for at inkassoselskaper og andre som driver porteføljevurdering skal kunne få tilgang til kredittopplysninger for dette formålet. De viser til at et slikt unntak følger av dagens konsesjoner.

Forbrukerrådet mener også det ville være hensiktsmessig med en felles ordning for kredittsperre, og at denne kan omfatte næringsdrivende. Høringsinstansen stiller dessuten spørsmål om de krav som stilles til legitimering av den registrerte ved registrering og oppheving av frivillig kredittsperre. Det har, etter det departementet har forstått, vært praksis blant flere av kredittopplysningsforetakene å kreve legitimering ved bruk av BankID for registrering av kredittsperre, mens sperren kan oppheves per telefon. Høringsinstansen stiller spørsmål ved om dette er en hensiktsmessig ordning, eller om også andre legitimasjonsordninger kan tenkes brukt. Også privatpersonen Thomas Henden har påpekt at dagens ordninger for registrering av frivillig kredittsperre, der enkelte selskaper benytter en løsning basert på innsending av en e-post med kopi av legitimasjon, er usikre. Han støtter dessuten at det bør etableres et sentralt sperreregister som alle kredittopplysningsforetakene må benytte.

Virke Inkasso mener derimot at det ikke bør lovfestes en rett til å sperre seg mot utlevering av kredittopplysninger fordi ordningen hindrer gode kredittvurderinger. Skatteetaten mener det ikke bør åpnes for kredittsperre for juridiske personer fordi ordningen kan misbrukes til å hindre kreditor innsyn i skyldners økonomi. Høringsinstansen uttaler seg ikke negativt om en sperreordning for fysiske personer.

10.5 Departementets vurderinger

Departementet vil innledningsvis knytte noen kommentarer til begrepsbruk. I gjeldende konsesjoner for behandling av opplysninger i kredittopplysningsvirksomhet benyttes begrepet «sperre mot kredittvurdering». Departementet mener imidlertid en mer treffende begrepsbruk vil være å omtale sperren som en «sperre mot utlevering av kredittopplysninger», da det i realiteten er selve utleveringen av opplysninger den registrerte kan motsette seg. I det følgende vil derfor formuleringene «motsette seg utlevering av kredittopplysninger» eller «sperre mot utlevering av kredittopplysninger» bli benyttet. Også begrepet «kredittsperre» benyttes. Dette er også inntatt i lovforslaget § 16.

10.5.1 Fysiske personer

En vanlig årsak til å ønske å registrere en frivillig sperre mot utlevering av kredittopplysninger er at man søker å motvirke negative konsekvenser av identitetstyveri. Det kan også være aktuelt å motsette seg utlevering av kredittopplysninger om seg selv dersom man ønsker å forhindre at andre skal få innsyn i kredittopplysninger om en selv, eller dersom man har stor gjeld eller av andre årsaker er bekymret for egen pengebruk.

I dag følger en slik rett til frivillig sperre mot utlevering av kredittopplysninger ikke av lov- eller forskriftsbestemmelser, men av kredittopplysningskonsesjonen pkt. 4.2. Alle de fire norske kredittopplysningsforetakene som behandler kredittopplysninger om fysiske personer tilbyr de registrerte en rett til å motsette seg at opplysninger om ham eller henne utleveres i kredittopplysningsvirksomhet (kredittsperre). Det kan likevel registreres opplysninger om vedkommende i kredittopplysningsregisteret.

Departementet vurderer at det ligger innenfor handlingsrommet i personvernforordningen artikkel 6 nr. 3 å åpne for at den registrerte kan begrense kredittopplysningsforetakenes behandling på en slik måte som kredittsperre innebærer. En bestemmelse om retten til kredittsperre kan også sies å ha nærhet til innsigelsesretten i forordningen artikkel 21. Departementet foreslår derfor å lovfeste gjeldende rett for så vidt gjelder fysiske personers adgang til å sperre seg mot utlevering av kredittopplysninger, se lovforslaget § 16 første ledd. Departementet legger til grunn at konsekvensen av en kredittsperre vil være at den registrerte ikke blir ytt kreditt. Så lenge vedkommende er klar over dette, bør det, i tråd med retten til å råde over egne personopplysninger, være opp til den enkelte om han eller hun ønsker å motsette seg at personopplysningene brukes til kredittvurdering.

Samtidig kan lovfesting av retten til kredittsperre ha uheldige virkninger for samfunnet ved at det påvirker effektiviteten i kredittgivning. Før eller siden vil de aller fleste ha et reelt behov for å bli kredittvurdert. Dette kan for eksempel være i forbindelse med søknad om boliglån. I slike tilfeller vil det være mulig å oppheve kredittsperren for deretter å sette en ny sperre når søknadsprosessen er ferdig. Dette kan medføre noe arbeid for den registrerte. Samtidig er departementet kjent med at flere kredittopplysningsforetak tilbyr elektroniske løsninger for å sette og heve kredittsperre, slik at dette både kan gå raskt og innebære lite arbeid.

10.5.2 Juridiske personer

Det er få høringsinstanser som har uttalt seg om spørsmålet om hvorvidt adgangen til å registrere frivillig kredittsperre også bør omfatte juridiske personer. De få som har uttalt seg går i ulike retninger, og gir ingen klar indikasjon på at man bør falle ned på den ene eller andre løsningen. Norske kredittopplysningsbyråenes forening ga i sin høringsuttalelse uttrykk for at de gjennom årene har mottatt noen få henvendelser fra juridiske personer som ønsker å registrere kredittsperre. Deres begrunnelse for å ønske slik sperre er gjerne at de vil beskytte seg mot svindel. Departementet ser at dette er en legitim begrunnelse for at det bør legges til rette for at også juridiske personer kan registrere frivillig kredittsperre.

Finans Norge og Skatteetaten, derimot, mener behovet for kredittsperre er betydelig mindre for juridiske personer enn for fysiske personer. Høringsinstansene påpeker også at skyldner kan hindre kreditor tilgang til viktig informasjon om utviklingen i skyldners økonomi dersom det åpnes for at juridiske personer kan motsette seg utlevering av kredittopplysninger, og at dette kan ha negativ virkning i kredittmarkedet.

Departementet mener det ikke må etableres ordninger og legges til rette muligheter for at skyldner kan unndra viktig informasjon om sin økonomiske utvikling fra kreditors innsyn. Erfaringene fra kredittopplysningsbransjen tyder på at behovet for frivillig kredittsperre for juridiske personer er beskjedent, og at det er få juridiske personer som benytter tilbudet. Samtidig kan behovet være reelt nok for de få juridiske personene som hittil har benyttet anledningen til å motsette seg utlevering av kredittopplysninger.

For juridiske personer vil kredittsperre kunne skape enkelte utfordringer i samhandlingen med andre juridiske personer, blant annet ved å påvirke muligheten til å få leverandørkreditt. Dette er imidlertid en risiko den registrerte selv må vurdere. Departementet mener derfor ikke at det er grunn til å nekte juridiske personer å registrere kredittsperre, og legger til grunn at regelverket kan praktiseres likt uavhengig av hvem den registrerte er. Lovforslaget § 16 første ledd er basert på denne vurderingen.

10.5.3 Kredittsperrens rekkevidde

Frivillig kredittsperre skal tjene flere hensyn ved at den kan bidra både til å redusere de negative konsekvensene ved identitetstyveri og til å forhindre uønsket gjeldsopptak. Samtidig er det viktig at løsningen ikke hindrer finansforetak i å gjennomføre lovpålagte risikovurderinger. Også inkassoforetak må ha tilgang til kredittopplysninger for løpende å kunne vurdere porteføljen sin og mulighetene for inndrivelse av krav. Denne muligheten til porteføljekontroll er viktig for effektiv drift og gode risikovurderinger. Etter gjeldende rett er det lagt til grunn at kredittsperren kun gjelder for enkeltoppslag i kredittopplysningsregisteret. Registrert kredittsperre gjelder, jf. merknader til Datatilsynets konsesjon for behandling av opplysninger i kredittopplysningsvirksomhet, punkt 1.1.3.1 nr. 3, således ikke for

«…utlevering av kredittopplysninger til banker og finansieringsinstitusjoner når disse skal brukes i forbindelse med bankenes pålagte risiko- og soliditetsvurderinger. Sperren gjelder heller ikke ved forespørsler fra inkassobyråene i forbindelse med porteføljevask og vurdering og inndriving av et krav».

Dette betyr at kredittsperre skal bidra til å forhindre uønskede hendelser og aktiviteter som det er rimelig at den registrerte selv har herredømme over. Derimot vil kredittsperren ikke kunne brukes som et middel for å forhindre porteføljekontroll og effektiv inndriving av utestående krav. Departementet mener derfor det er hensiktsmessig å videreføre gjeldende praksis, slik at en registrert kredittsperre ikke får negative konsekvenser for kredittmarkedet. For at det ikke skal være noen tvil om rekkevidden av en registrert kredittsperre, anser departementet det som hensiktsmessig at begrensningen inntas direkte i lovforslaget § 16 andre ledd.

10.5.4 Legitimasjonskrav ved registrering og oppheving av kredittsperre

Enkelte høringsinstanser har påpekt at de ulike kredittopplysningsforetakene i dag har ulike krav til legitimasjon ved registrering av kredittsperre. Noen benytter enkle e-postløsninger der den registrerte sender inn kopi av et legitimasjonsdokument for å få registrert en kredittsperre. Andre har innloggingsløsninger som krever bruk av BankID.

Departementet mener det kan få uheldige følger for den registrerte dersom noen urettmessig registrerer eller opphever en kredittsperre på hans eller hennes navn. Det bør derfor stilles tydelige og strenge krav til legitimasjon ved registrering av kredittsperre. De samme kravene bør gjelde ved oppheving av sperren for å sikre at det er rette vedkommende som opphever sperren. Departementet mener at løsninger basert på bruk av e-post og kopi av legitimasjonsdokumenter, uten noen mulighet for kredittopplysningsforetaket til å verifisere dokumentenes ekthet, ikke gir et tilfredsstillende sikkerhetsnivå.

Av hensyn til opplysningskvaliteten i kredittopplysningsregistrene, og tryggheten for de registrerte, må det benyttes sikre registreringsløsninger. Departementet mener opplysningskvaliteten og hensynet til de registrertes trygghet best kan ivaretas ved bruk av innloggingsløsninger der den registrerte legitimerer seg ved bruk av elektronisk ID. Dette kan være den offentlige løsningen MinID, eller løsninger tilbudt fra private aktører som BankID, Buypass eller COMMFIDES. Disse løsningene tilbyr noe ulike sikkerhetsnivåer.

Forbrukerrådet har i sin høringsuttalelse pekt på at krav om legitimasjon i form av BankID er svært strengt, og at det ikke er alle norske borgere som har BankID. For disse vil det ikke være mulig å registrere kredittsperre dersom det kreves legitimasjon ved bruk av BankID. Departementet ser det ikke som hensiktsmessig å pålegge bransjen å benytte en eller flere bestemte legitimasjonsløsninger. Etter departementets syn bør det være opp til kredittopplysningsforetaket, eller virksomhetene i bransjen i samarbeid, å vurdere hvilket sikkerhetsnivå de vil kreve ved registrering og oppheving av kredittsperre, og hvilke løsninger de ønsker å implementere for å ivareta et tilfredsstillende sikkerhetsnivå. Departementet går likevel inn for at det lovfestes en plikt til å sørge for sikker legitimasjon og sikre innloggingsløsninger uavhengig av hvilken løsning som velges, se lovforslaget § 16 tredje ledd.

10.5.5 Sentralt register over kredittsperrer

Enkelte høringsinstanser har etterlyst et sentralt register over kredittsperrer. Tall fra aktører i bransjen tyder på at antallet registrerte kredittsperrer ikke er veldig høyt sammenliknet med antallet registrerte. Det samlede antall registrerte kredittsperrer ligger på ca. 20 000 per år. Antall personer med kredittsperre er imidlertid noe lavere, ca. 15 000. Dette innebærer at det er flere som registrerer og opphever sin sperre flere ganger i løpet av et år. Dette kan blant annet skyldes at de er aktive i kredittmarkedet i perioder, men ønsker kredittsperre i de periodene de ikke aktivt søker kreditt, for eksempel for å motvirke identitetstyveri. De store kredittopplysningsforetakene oppfordrer aktivt de registrerte til å registrere sin kredittsperre også hos andre som driver kredittopplysningsvirksomhet. Det kan derfor legges til grunn at de fleste som registrerer kredittsperre gjør dette hos alle de store kredittopplysningsforetakene.

Hensikten med et sentralt register for registrering av kredittsperre vil være å lette registrering av sperre for den enkelte. I dag må fysiske personer registrere ønsket kredittsperre i alle kredittopplysningsregistrene (i praksis fire), og parallelt oppheve sperren direkte i hvert enkelt kredittopplysningsregister når vedkommende ikke lenger ønsker å være sperret mot kredittvurdering. Dette kan fremstå som tungvint og upraktisk, og dermed fungere som et hinder for kredittsperre for de som ønsker dette. Samtidig bemerker departementet at dagens system synes å fungere relativt godt.

Kredittsperre kan benyttes av personer som av økonomiske årsaker ikke ønsker å ha mulighet til å oppta ny kreditt. På denne måten kan sperren fungere som et privatøkonomisk beskyttelsestiltak for personer med økonomiske problemer. Det er imidlertid slik at de registrerte selv registrerer og opphever sin kredittsperre. Fordi sperren enkelt kan oppheves, er det grunn til å stille spørsmål ved om den i nevneverdig grad vil påvirke den muligheten personer med betalingsproblemer har til å oppta ny gjeld. Enklere mulighet for etablering av kredittsperre vil derfor trolig ha liten effekt i arbeidet for å redusere gjeldsproblemer. Samtidig kan sperre mot kredittvurdering være aktuelt for personer som opplever identitetstyveri, der «tyven» ikke sjelden benytter den stjålne identiteten til å oppta kreditt. Ved å registrere kredittsperre kan offeret for identitetstyveriet motvirke at gjerningspersonen kan ta opp ny kreditt i offerets navn. Dette kan være et nyttig tiltak for å begrense de negative virkningene av identitetstyveri. Det er departementets erfaring at hensikten for den enkelte ved registrering av kredittsperre stadig oftere er å motvirke identitetstyveri, det vil si et formål som har mindre sammenheng med kredittopplysningsvirksomhet. Norske kredittopplysningsbyråers forening skriver i sin høringsuttalelse at bransjen selv arbeider for å etablere et felles sperreregister. Det synes i utgangspunktet hensiktsmessig at et eventuelt sentralt sperreregister etableres og driftes av bransjen selv i tilknytning til de løsningene bransjen allerede har etablert. Etter det departementet kjenner til, er bransjens arbeid med et felles sperreregister imidlertid stilt i bero etter høringsfristens utløp. Bransjen har, etter det departementet kjenner til, på det nåværende tidspunkt ikke konkrete planer om et felles sperreregister.

Departementet er i tvil om det offentlige bør være behandlingsansvarlig for et eventuelt sperreregister. Etablering av en offentlig registerløsning uavhengig av kredittopplysningsforetakenes registre, vil kunne bli relativt ressurskrevende sett i forhold til den samfunnsmessige effekten av et slikt sperreregister. Det er kredittinstitusjonene som er ansvarlige for å sikre at det ikke ytes kreditt til personer på grunnlag av uriktige opplysninger. Det bør derfor også være i bransjens interesse å bidra til at det finnes effektive løsninger for kredittsperre og identitetskontroll. Departementet er samtidig i tvil om lov om behandling av opplysninger i kredittopplysningsvirksomhet er det riktige stedet å innta en regulering av et offentlig driftet sentralt sperreregister. Departementet viser videre til at opprettelse av et offentlig driftet sentralt sperreregister går ut over de spørsmålene som har vært hørt som ledd i arbeidet med lovregulering av behandling av kredittopplysninger. Opprettelse av et offentlig sperreregister må utredes grundig før det kan legges frem forslag om et eventuelt slikt register. Departementet foreslår derfor ikke i proposisjonen å etablere et offentlig driftet sentralt register for registrering av frivillig kredittsperre.