Personvernnemndas avgjørelse av 27. mai 2008 (Jon Bing, Gro Hillestad Thune, Leikny Øgrim, Siv Bergit Pedersen, Jostein Halgunset, Tom Bolstad, Mari Bø Haugstad)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets vedtak av 11.12.2007 om at Utleiemegleren ikke skal innhente kredittopplysninger om interessenter til leie av boliger.
2 Saksgang
Datatilsynet gjennomførte 26.9.2007 en kontroll med behandlingen av personopplysninger hos Utleiemegleren Forvaltning AS (Utleiemegleren). Kontrollen var rettet mot virksomhetens behandling av opplysninger om interessenter til og leietakere av utleieboliger, der Utleiemegleren hadde inngått en forvaltningsavtale med utleier.
Med bakgrunn i Datatilsynets endelige kontrollrapport av 3.12.2007, og med hjemmel i personopplysningsloven § 46, fattet Datatilsynet vedtak med pålegg 11.12.2007.
I brev av 20.12.2007 klaget Utleiemegleren på Datatilsynets vedtak. Klagen er gitt oppsettende virkning, i påvente av Personvernnemndas avgjørelse.
Personvernnemnda mottok saken fra Datatilsynet 29.1.2008. Klager ble orientert om dette i brev fra nemnda samme dag, med frist til uttalelse innen 18.2.2008.
3 Faktum
Utleiemegleren er et eiendomsforvaltningsfirma som påtar seg forvaltningsoppdrag for utleiere av boligeiendommer. Normalt skaffer Utleiemegleren leietakere og forvalter det løpende leieforholdet for utleier. I tillegg forskutterer Utleiemegleren leien, slik at utleier er garantert å få utbetalt leiebeløpet i rett tid.
Når Utleiemegleren har et leieobjekt på markedet, bes alle interessenter om å fylle ut et skjema. I skjemaet kan interessentene krysse av for at de samtykker til innhenting av kredittopplysninger om vedkommende. De mest aktuelle interessentene kredittvurderes.
Datatilsynet fattet følgende vedtak:
Utleiemegleren Forvaltning AS skal umiddelbart avslutte sin behandling av kredittopplysninger vedrørende interessenter og leietagere, jf personopplysningsforskriften § 4-3. Dette innebærer både at allerede innhentede kredittopplysninger skal slettes umiddelbart, og at det ikke skal hentes inn kredittopplysninger om interessenter i fremtiden.
4 Klagers anførsler
Klager er kjent med klagesak PVN-2006-03. Utleiemegleren slutter seg til KLPs argumentasjon og mindretallets vurdering av saken. I utleieforholdene som forvaltes av Utleiemegleren er det løfte om kreditt overfor leietakerne. Det foreligger videre et kredittelement i forbindelse med leietakers plikt til å stille depositum. Utleiemegleren viser til at det kontraktsfestede løftet om bolig, i tiden mellom avtalen inngås og depositumet stilles, også vil være en kreditt gitt til leietaker. Klager mener dermed at kravet til ”saklig behov” er oppfylt, jf personopplysningsforskriften § 4-3.
Klager anfører at det vil være naturlig at behovet for kredittopplysninger er knyttet opp mot behovet for en oversikt over interessentens betalingshistorikk for å begrense farene for økonomisk tap i avtaleforholdet.
Utleiemegleren er ikke enig i Datatilsynets snevre fortolkning av personopplysningsforskriften § 4-3. Det foreligger en økonomisk forpliktelse med risiko for tap i et løpende leieforhold, og tolkningen strider mot Sandvik-utvalgets vurdering av begrepet saklig grunn, hvor det er uttalt at dette bør tolkes ”romslig” (NOU 1974:22).
Utleiemegleren vil hevde at det foreligger et kredittforhold mellom leietaker og Utleiemegleren. Det vises til forvaltningsavtalen mellom utleier og Utleiemegleren pkt 14. Utleiemegleren garanterer leiebeløpet til avtalt tid uavhengig av om leietaker betaler eller ikke.
Til illustrasjon angir Utleiemegleren at misligholdet i august 2007 på alle saker som ble forvaltet av Utleiemegleren var på totalt 55,14 %. Utleiemegleren foretok utbetaling på 10,29 % av det totale antall leieforhold. Dette utgjorde en utbetaling på kr 2 214 542 til utleierne. Dette er kreditt til leietakere.
Utleiemegleren mener at depositum ikke avhjelper kredittrisikoen fordi depositum er stilt overfor utleier, ikke Utleiemegleren, jf husleieloven § 3-5. Utleiemegleren har ikke krav på dekning av sitt eventuelle tap gjennom depositumet.
5 Datatilsynets vurdering
Datatilsynet mener at Utleiemegleren ikke har et ”saklig behov” for å innhente kredittopplysninger om interessenter, jf personopplysningsforskriften § 4-3.
Datatilsynet legger til grunn flertallets vurderinger i KLP-saken, PVN-2006-03. Tilsynet mener at faktum i herværende sak skiller seg noe fra KLP-saken. Her er det utleiers forvaltningspartner som ønsker å gjennomføre en kredittvurdering for å redusere risikoen for eget tap. Etter tilsynets mening medfører dette at Utleiemegleren står enda svakere enn KLP gjorde for så vidt gjelder vurderingen av om de har et saklig behov. Datatilsynet kan vanskelig se at en avtale som inngås mellom Utleiemegleren og utleier, gyldig kan etablere et kredittforhold mellom leietaker og Utleiemegleren. Det er etter tilsynets vurdering mer nærliggende å si at det gjennom forvaltningsavtalen etableres en potensiell kreditt mellom utleier og Utleiemegleren.
Datatilsynet viser til at i forvaltningsavtalen mellom Utleiemegleren og utleier er det utleier som har risikoen for manglende innbetaling av depositum. Utleiemegleren har kun et potensielt kredittforhold til utleier, ikke til leietaker.
Utleiemegleren påtar seg den økonomiske risikoen som etter leieavtalen og husleieloven påligger utleier. Etter tilsynets vurdering kan denne risikoen søkes redusert gjennom avtalen mellom Utleiemegleren og utleier. Enten ved at risikoen reflekteres i størrelsen på forvaltningshonoraret eller ved at det etableres en ordning hvor tap dekkes av utleier.
Datatilsynet mener at den registrerte ikke kan samtykke til kredittvurdering dersom det ikke foreligger saklig behov etter personopplysningsforskriften § 4-3. Saklighetskravet i denne bestemmelsen er en konkretisering av saklighetskravet i personopplysningsloven § 11. I henhold til Datatilsynets praksis kan den registrerte ikke samtykke seg bort fra grunnvilkårene i § 11.
Uansett vil et samtykke ikke være frivillig, jf personopplysningsloven § 2 nr 7. Behovet for bolig er et grunnleggende behov og boligmarkedet er presset. I følge Utleiemegleren vil en interessent som ikke samtykker til kredittvurdering, ”etter all sannsynlighet ikke få tilbud om leiligheten”. I denne situasjonen vil det være nærmest umulig å ikke samtykke til kredittvurdering.
6 Personvernnemndas merknader
Personvernnemnda mener at det å be et kredittopplysningsforetak om en kredittvurdering av en person, er en ”behandling” av personopplysning i personopplysningslovens forstand, jf personopplysningsloven § 2 nr 2; ”enhver bruk av personopplysninger”. Såfremt behandlingen helt eller delvis skjer med elektroniske hjelpemidler eller skal inngå i et register, vil personopplysningsloven komme til anvendelse, jf personopplysningsloven § 3, 1. ledd litra a og b. Motsatt vil ikke loven komme til anvendelse dersom kredittopplysningen blir meddelt muntlig fra kredittopplysningsforetaket. Nemnda skal bemerke at dersom en privatperson ønsker å be om en kredittvurdering før utleie av egen bolig, vil dette i forhold til vedkommende privatperson mest sannsynlig falle utenfor loven, jf personopplysningsloven § 3, 2. ledd.
Nemnda skal først drøfte behandlingsgrunnlaget for å innhente kredittopplysninger i forbindelse med inngåelse av en boligleieavtale, jf personopplysningsloven §§ 8 og 11. Datatilsynet har hevdet at det samtykket som innhentes i denne situasjonen ikke kan være behandlingsgrunnlag, fordi det foreligger en tvangssituasjon – man samtykker ikke frivillig når samtykket gis for å oppnå noe, jf personopplysningsloven § 2 nr 7. Nemnda er imidlertid kommet til at det riktige behandlingsgrunnlaget må være personopplysningsloven § 8 litra a; ”behandlingen er nødvendig for å oppfylle en avtale med den registrerte, eller for å utføre gjøremål etter den registrertes ønske før en slik avtale inngås”. Nemnda viser i denne forbindelse til uttalelse fra Lovavdelingen av 27.9.2006 (JDLOV-2005-9112):
"Personopplysningsloven § 8 bokstav a gir adgang til å behandle personopplysninger dersom behandlingen er nødvendig for å oppfylle en avtale med den registrerte, ”eller for å utføre gjøremål etter den registrertes ønske før en slik avtale inngås”. Om dette alternativet uttales det følgende i merknaden til bestemmelsen i Ot.prp nr 92 (98-99) på s. 109:
”Bokstav a gir også adgang til å behandle personopplysninger når dette er nødvendig for å utføre gjøremål som den registrerte har bedt om før han eller hun inngår en avtale med den behandlingsansvarlige, jf bokstav a annet alternativ. Et typisk eksempel her er behandling av personopplysninger som er nødvendig for å kunne gi et tilbud til den registrerte - f eks kredittvurderinger som ledd i finansieringsvirksomhet.”
Ordlyden synes å forutsette at den registrerte (kunden) har et eget ønske om gjøremålet (kredittvurderingen) for at det i den forbindelse skal være adgang til å behandle personopplysninger etter bestemmelsen. I merknaden til bestemmelsen heter det til og med at den registrerte skal ha «bedt om» at gjøremålet utføres før han eller hun inngår avtalen. Eksemplet om kredittvurderinger tyder imidlertid på at det - i hvert fall i disse tilfellene - er tilstrekkelig at gjøremålet utføres i den registrertes (kundens) interesse når dette er en forutsetning for at den registrerte skal oppnå en ønsket avtale med den behandlingsansvarlige. I forbindelse med en søknad om lån vil det typisk være i kundens interesse at banken foretar en kredittvurdering, siden banken gjerne ikke vil gi noe tilbud om lån uten en forutgående kredittvurdering. Selv om det kanskje ikke er helt treffende å si at kredittvurderingen i disse tilfellene utføres «etter den registrertes ønske», legger vi på bakgrunn av den klare uttalelsen i forarbeidene til grunn at bestemmelsen gir adgang til behandling av personopplysninger i forbindelse med kredittvurderinger når kredittvurderingen er en forutsetning for at banken skal være villig til å gi et lånetilbud til den registrerte.
Nemnda forstår det slik at Utleiemegleren går inn i utleiers rolle i forbindelse med utleie av bolig, men påtar seg ikke utleiers plikter ved utleie. Etter nemndas mening har ikke Utleiemegleren påtatt seg noen spesiell økonomisk risiko ved inngåelse av forvaltningsavtalen. I følge forvaltningsavtalen pkt 14 skal Utleiemegleren forskuttere nettobeløpet av husleieinntektene til utleier uten hensyn til om leietaker har betalt. Dette gjelder imidlertid kun dersom det er innbetalt minimum tre måneders husleie i depositum og plikten til å forskuttere gjelder ikke dersom leietaker misligholder sin betaling med mer enn to måneder regnet fra forfallsdagen for innbetaling. Det potensielle økonomiske tapet ved manglende betaling av husleie ligger derfor fortsatt hos utleier. Således er det i utleiers interesse at Utleiemegleren foretar en kredittvurdering av potensielle leietakere. Slik nemnda ser det er Utleiemegleren tilfredsstillende dekket mot økonomisk tap i forvaltningsavtalen med utleier, slik at kredittvurderingen av interessenter må sees som en service som Utleiemegleren yter utleier slik at utleier kan føle seg tryggere. Utleiemegleren foretar med andre ord en kredittvurdering av interessenter på vegne av utleier, slik at det ved vurdering av utleie kan tas hensyn til opplysninger om betalingsanmerkninger, svak økonomi eller for øvrig en dårlig betalingshistorikk.
Det følger av personopplysningsforskriften § 4-3 at ”kredittopplysning kan bare gis til den som har saklig behov for den”. Det nærmere innholdet i denne bestemmelsen har nemnda drøftet i sin avgjørelse i KLP-saken, PVN-2006-03. Der delte nemnda seg i et flertall og et mindretall. En samlet nemnd var imidlertid enige om at kravet om ”saklig behov” betyr at det ikke alltid vil være tilstrekkelig at det foreligger et kredittelement dersom den forretningsmessige risiko er lav og motsatt vil det ikke alltid være nødvendig med et kredittelement dersom den forretningsmessige risiko er høy. I KLP-saken uttalte flertallet at faren for økonomisk tap dersom kunden ikke betaler er en normal risiko ved all forretningsdrift. Denne alminnelige forretningsrisiko vil alltid til en viss grad være til stede – en eventuell kredittvurdering vil ikke fjerne en slik risiko. Flertallet avgjorde derfor at KLP ikke kunne foreta kredittvurdering av potensielle leietakere.
Selv om problemstillingen i herværende sak ligner problemstillingen i KLP-saken, stiller den seg likevel annerledes i denne saken fordi Utleiemegleren handler på vegne av enkeltpersoner. Privatpersonen leier typisk ut ett eller et fåtall objekter via Utleiemegleren. Når utleier er en privatperson har ikke hun eller han samme mulighet til å pulverisere tapet som et stort foretak har. En privatperson kan ikke fordele risikoen på en større virksomhet, og er dermed mer sårbar ved utleie. Nemnda antar at dette også er en av grunnene til at privatpersoner velger å bruke Utleiemegleren. Argumentet om at faren for økonomisk tap dersom kunden ikke betaler er ”en normal risiko ved all forretningsdrift” gjør seg derfor ikke gjeldende når utleier er en privatperson. En privatperson er tvert imot utsatt dersom han eller hun leier ut boligen til en som ikke betaler.
På denne bakgrunnen er nemnda etter en konkret vurdering kommet til at det i denne saken foreligger saklig behov for kredittopplysninger, jf personopplysningsforskriften § 4-3. Utleiemegleren kan derfor foreta kredittvurdering av potensielle leietakere på vegne av utleier. Som drøftet i KLP-saken, ble det i motivene til den gamle personregisterloven § 17 uttalt at kriteriet om ”saklig grunn” skulle tolkes romslig. Denne romsligheten ble illustrert ved at det ble uttalt at det motsatte av ”saklig behov” var ”nysgjerrighet og kikkermentalitet”. Det er ikke et krav i følge lov eller forskrift at det skal foreligge et kredittelement – det er kun et krav om å ha saklig behov for kredittopplysningen, jf personopplysningsforskriftens § 4-3. Nemnda legger også vekt på at et depositum normalt er et beløp tilsvarende tre måneders husleie, noe som sjelden vil dekke både skyldig leie, eventuelle skader på boligen, utgifter ved fraviking av bolig og andre krav som reiser seg av leieavtalen. For en privatperson er det derfor en høy forretningsmessig risiko forbundet med boligutleie. Det foreligger dermed saklig grunn.
Utleiemegleren kan kommunisere de innhentede kredittopplysningene til utleier. Opplysningene skal imidlertid ikke lagres, men slettes etter bruk, jf personopplysningsloven § 28.
Når det gjelder hvor mange som eventuelt skal kredittsjekkes, er det nemndas oppfatning at kun den som får tilbud om å leie boligen kan bli kredittvurdert som en siste sjekk før tilbudet gis. Bare dersom man på grunnlag av kredittvurderingen velger ikke å tilby boligen til vedkommende, eller vedkommende avslår tilbudet, kan man gå videre og kredittvurdere den neste personen på listen.
7 Vedtak
Klagen tas til følge. Utleiemegleren kan kredittvurdere potensielle leietakere.
Oslo, 27. mai 2008
Jon Bing
Leder