Personvernnemndas avgjørelse av 13. januar 2010 (Eva I. E. Jarbekk, Arve Føyen, Ørnulf Rasmussen, Tom Bolstad, Leikny Øgrim, Ann Rudinow Sætnan, Jostein Halgunset)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage fra Dun & Bradstreet Norway AS (D&B) og Norske Kredittopplysningsbyråers Forening (NKF) på tilsynets vedtak av 27.2.2009, hvor Datatilsynet ga pålegg om sletting av betalingsanmerkninger i D&Bs registre og omgjøring av praksis for sletting.
2 Saksgang
Datatilsynet ble kontaktet av en privatperson i august 2007 med spørsmål om hvorvidt kredittopplysningsbyråer kan lagre betalingsanmerkninger som ikke kan resultere i tvangsforretning i mer enn to fireårsperioder etter hverandre. Personen hadde betalingsanmerkning i to saker som var over ti år gamle.
I brev av 16.5.2008 etterspurte Datatilsynet en redegjørelse fra D&B for virksomhetens forståelse og praktisering av vilkåret i standardkonsesjonens pkt 4.2.
Datatilsynet mottok svar 27.6.2008. Den 15.10.2008 varslet Datatilsynet at det vurderte å pålegge sletting av de aktuelle opplysningene, samt tilsvarende endring av selskapets rutiner for sletting av betalingsanmerkninger. D&B svarte i brev av 28.10.2008 at det ikke var aktuelt å legge om sin praksis og at de angjeldende opplysninger ikke vil bli slettet før fordringen er gjort opp eller det har gått mer enn fire år etter at siste rettslige skritt ble tatt. I vedtak av 27.2.2009 ble det fattet vedtak i samsvar med varselet. I brev av 18.3.2009 påklaget D&B vedtaket.
Saken ble oversendt Personvernnemnda ved brev fra Datatilsynet datert 16.9.2009.
Klager ble orientert om at klagesak var mottatt hos Personvernnemnda i brev fra nemnda datert 23.9.2009, med frist til uttalelse innen 10.10.2009. Personvernnemnda mottok henvendelse fra klager 8.10.2009 om å få utsatt frist og fristen ble utsatt til 30.10.2009.
Personvernnemnda mottok deretter brev fra klager datert 27.10.2009 med kommentarer til Datatilsynets oversendelsesbrev.
3 Faktum
Standardkonsesjonen for kredittopplysningsvirksomhet punkt 4.1 lyder:
4.1 Slettefrist
En opplysning skal ikke brukes i kredittopplysningsvirksomhet lengre enn 4 år. Slettefristen regnes fra den dato opplysningen første gang ble lovlig registrert.
Standardkonsesjonen for kredittopplysningsvirksomhet punkt 4.2 lød i 2004 slik:
4.2 Fordringer med lengre slettefrister
Opplysninger om tvangsforretning i fast eiendom eller løsøre, kan benyttes i kredittopplysningsøyemed så lenge de er registrert i det gjeldende offentlige register.
En fordring som ikke kan resultere i slik tvangsforretning, kan benyttes i kredittopplysningsøyemed i ytterligere fire år, dersom det tas nye rettslige skritt. Fordringen må beløpe seg til minimum kr 20.000,- inkludert renter og omkostninger på det tidspunkt da nye rettslige skritt tas.
Etter at NKF hadde en klagesak hos Personvernnemnda i 2004 (PVN-2004-05) ble siste setning i 2. ledd strøket.
Spørsmålet i denne saken er den nærmere forståelsen av slettevilkåret og tidsfristen.
4 Klagers anførsler
Klager anfører at en fordring kan benyttes i ytterligere fire år dersom det tas nye rettslige skritt. Klager anfører at det således løper en ny fireårsfrist fra siste rettslige skritt i saken. Det er ikke en begrensning på én ny registreringsperiode på fire år. Det er således ikke korrekt som Datatilsynet hevder at maksimumsperioden er åtte år.
Klager hevder at spørsmålet Personvernnemnda skulle avgjøre i PVN-2004-05 var adgangen til å holde betalingsanmerkninger registrert så lenge det er tatt nye rettslige skritt for å hindre foreldelse, og at dette ikke er begrenset til én fireårsperiode. Det er ingen uttalelser i Personvernnemndas avgjørelse som trekker i retning av at de mente å begrense adgangen til fornyet registrering på en slik måte. Klagers hovedanførsel i den saken var at det relevante punktet i konsesjonen skulle endres til å lyde:
En betalingsanmerkning kan benyttes i kredittopplysningsvirksomhet så lenge det tas nye rettslige skritt for å unngå at kravet foreldes. En ny fireårsfrist løper fra siste rettslige skritt i saken.
I sin avgjørelse avviste Personvernnemnda å innføre en beløpsbegrensning og ga for øvrig kredittopplysningsbyråene medhold.
Et av Personvernnemndas poeng var at kostnadene ved prosessen med å ta nye rettslige skritt er så høye, at det bare tas nye skritt i de tilfellene der det har reell betydning, og dette skaper trygghet for at man ikke opprettholder kravet og anmerkningen uten at det er grunn til det. Det er derfor ikke behov for noen beløpsbegrensning, og heller ikke for å begrense adgangen til registrering for én ny periode. I disse tilfellene vil formålet med behandlingen heller ikke være gjennomført så lenge kravet fortsatt består og forsøkes inndrevet. Det er derfor ikke grunnlag for å kreve anmerkningen slettet i henhold til personopplysningsloven § 28. Det vil heller ikke være rettslig grunnlag til å sette vilkår som begrenser adgangen til å behandle opplysningene i forhold til det som følger av § 28 i disse tilfellene.
Ordlyden i konsesjonen er dekkende for en praksis med flere etterfølgende fireårsperioder. Datatilsynets forståelse av det omtalte konsesjonsvilkåret er i konflikt med Personvernnemndas avgjørelse i PVN-2004-05. Datatilsynets merknader til konsesjonen representerer bare Datatilsynets egen tolkning av konsesjonen på et punkt der det står strid om forståelsen av Personvernnemndas vedtak. Merknadene kan derfor ikke tillegges vekt.
Dersom Personvernnemnda kommer til at Datatilsynets tolkning må legges til grunn, innebærer det at Personvernnemnda, ved sin forrige behandling i PVN-2004-05 gjorde en saksbehandlingsfeil ved ikke å vurdere og begrunne spørsmålet om muligheten for flere etterfølgende fireårsperioder. Vedtaket må derfor anses delvis ugyldig. Spørsmålet om slettefrist for disse fordringene må avgjøres på nytt av nemnda.
Klager anfører at Datatilsynets fremstilling av svensk rett ikke er korrekt. Det er riktig at alminnelig slettefrist er tre år, men saker som er til inndriving hos kronofogdmyndigheten kan stå registrert som ubetalt gjeld så lenge inndrivingssaken ikke er avsluttet. Dette kan strekke seg over mange år.
Krav av en viss størrelse vil inkassobyråene ofte sørge for at ikke foreldes ved at de tar nye rettslige skritt som avbryter foreldelsesfristen. Krav som er omfattet av en slik prosess har stor betydning for kredittvurderingen. For det første fordi kravet er av en slik størrelse at inkassobyråene finner grunn til å bruke ressurser på å hindre at det foreldes. For det andre fordi kravet i slike tilfeller er rettskraftig fastslått (ikke omtvistet). Så lenge kreditorene sørger for at krav mot skyldner ikke foreldes, vil det være direkte misvisende om opplysningen ikke skulle fremgå av kredittopplysninger om vedkommende. At det er gått mer enn åtte år siden det første misligholdet ble registrert endrer ikke dette. Det forhold at det er tatt nye rettslige skritt viser at kravet fortsatt er dagsaktuelt og vil konkurrere med andre krav fra eventuelle fremtidige kreditorer. I de tilfellene hvor det tas nye rettslige skritt etter så mange år, dreier det seg ikke om tilfeldige og ubetydelige betalingsanmerkninger. Opplysninger om disse kravene vil altså være både relevante og nødvendige for kredittvurderingsspørsmål og fortsatt behandling vil derfor være i overensstemmelse med kravene i §§ 11 og 28. Det er da ikke rettslig grunnlag for å fastsette et vilkår om oppbevaringstid på åtte år.
5 Datatilsynets vurdering
Datatilsynet viser til at Personvernnemnda kom til i PVN-2004-05 at ”klager gis medhold i den utstrekning at siste setning i konsesjonens pkt 4.2, 2.ledd strykes”. Den setningen det ble henvist til, gjaldt fiksering av en bestemt beløpsgrense.
Datatilsynet forstår Personvernnemnda dit hen at kreditors kostnader ved å gå til rettslige skritt for å inndrive det uinnfridde kravet, skal utgjøre en iboende bremsekloss på kreditors tilbøyeligheter til å rutinemessig ta rettslige skritt, bare for å avbryte foreldelse og derav beholde adgangen til å opprettholde anmerkningene i registeret.
Slik tilsynet ser det ble ikke klager i den saken gitt medhold i annet enn det som uttrykkelig ble spesifisert, jf uttrykket ”i den utstrekning”. Nemnda strøk den opprinnelig foreslåtte beløpsgrensen. Følgelig kan ikke klagers anmodning om fristforlengelser ”så lenge det tas nye rettslige skritt” sies å ha blitt tatt til følge av nemnda.
Datatilsynet anfører at nemndas uttalelser i PVN-2004-05 er ikke til hinder for at Datatilsynet fastsetter en øvre grense for opprettholdelse av betalingsanmerkninger og andre kredittopplysninger, gjennom en presisering av hvordan egne konsesjonsvilkår er å forstå. Forutsetningen i denne saken er at det er tale om fordringer som ikke kan resultere i tvangsforretning i fast eiendom eller løsøre.
Klager har anført at Datatilsynet ikke har rettslig grunnlag for å fastsette vilkår som begrenser adgangen til å behandle opplysningene i forhold til det som følger av bestemmelsene i personopplysningsloven § 28. Datatilsynet mener at dette ikke er korrekt. Bestemmelsen i § 28 knesetter en regel som nettopp forbyr den behandlingsansvarlige å behandle et sett med personopplysninger over lengre tid. Tillatt lagring er knyttet til formålet med behandlingen. Det vises også til § 35.
Klager har en uriktig forståelse av vilkårene i § 28 og de formål som ligger til grunn for kredittopplysningsinstituttet. Det er et nødvendighetskrav i lovbestemmelsen og formålet med kredittopplysningsinstituttet er å gi potensielle, fremtidige kreditorer relevant og oppdatert informasjon om den registrertes økonomiske vederheftighet, jf personopplysningsforskriften § 4-2 og personopplysningsloven § 11.
Slutningen om at formålet med behandlingen ikke er gjennomført så lenge kravet består og forsøkes inndrevet, kan ikke være allmenngyldig. Fremtidige kreditorer kan tvert imot få et uriktig bilde av potensielle debitorer som ikke har misligholdt en eneste betalingsforpliktelse de siste åtte årene, men som har en ti år gammel uheldig enkelthendelse heftende ved sitt navn i kredittopplysningsbyråenes registre.
Den ordning som klager skisserer, vil kunne åpne for tidsubegrenset lagring av opplysninger om enkeltstående betalingsmislighold, for eksempel hvor kreditor har mulighet til å pulverisere kostnadene forbundet med å ta nye rettslige skritt. Dette er i uoverensstemmelse med konsesjonens hovedregel om fire års lagring, og personopplysningsloven § 28.
Dette stemmer også overens med den svenske kredittuppgiftslagen § 8 der slettefristen er tre år.
Den tidligere personregisterloven § 15 annet ledd oppstilte en hovedregel som påla den registeransvarlige å slette kredittopplysninger som ved kalenderårets utgang ville være tre år gamle eller mer. Et unntak fra denne hovedregelen var strengt angitt ved at opplysningene bare kunne brukes dersom det er åpenbart at forholdet fortsatt har vesentlig betydning for vurderingen av den opplysningene gjelder. Det foreligger ingen rettskilder som tilsier at lovgiver ønsket å gå bort fra dette utgangspunktet ved innføringen av personopplysningsloven.
Den danske personoplysningsloven har også en maksimumsfrist. Den er på fem år, men med en snever unntaksbestemmelse dersom det er åpenbart at forholdet er av avgjørende betydning for bedømmelsen.
6 Personvernnemndas merknader
I denne saken skal nemnda ta stilling til forståelsen av slettevilkåret i standardkonsesjonen for kredittopplysningsvirksomhet punkt 4.2. Datatilsynet tolker bestemmelsen slik at hovedregelen er at en anmerkning skal slettes etter fire år. Den kan dog være registrert i ytterligere fire år dersom det tas nye rettslige skritt, men en anmerkning kan ikke være registrert lenger enn åtte år samlet sett. I merknadene til konsesjonen er dette presisert slik:
En fordring som ikke kan resultere i en tvangsforretning, kan benyttes i ytterligere fire år dersom det tas nye rettslige skritt. Den maksimale lagringstiden for en ikke-oppgjort fordring, som ikke kan resultere i en tvangsforretning, er åtte år.
Klager tolker regelen i punkt 4.2 dit hen at en slik fordring ikke skal slettes før det har gått mer enn fire år etter at siste rettslige skritt ble tatt, uten at det er noen lengste oppbevaringstid på åtte år.
I PVN-2004-05 tok Personvernnemnda stilling til flere punkter i standardkonsesjonen. Personvernnemndas drøftelse for så vidt gjelder punkt 4.2 var slik:
Personvernnemnda har ingen kommentarer til konsesjonen pkt 4.2, 1.ledd, men bemerker at registrerte anmerkninger i registre for fast eiendom eller løsøre typisk ikke vil bli slettet. De vil fremgå av de aktuelle registre. Man kunne reise spørsmål om behovet for dublering av registrering for bruk i kredittopplysningsvirksomhet, men etter omstendighetene forfølges ikke dette spørsmålet. Personvernnemnda kan under enhver omstendighet ikke omgjøre Datatilsynets vedtak til ugunst for klager.
Når det gjelder konsesjonen pkt 4.2, 2.ledd har Personvernnemnda vurdert hensiktsmessigheten av å innføre en bestemt beløpsgrense. Det er flere ulemper ved en slik grense, bl a at det vil kunne være behov for å revidere den over tid i forhold til kostnadsutviklingen. Personvernnemnda ser det slik at kreditor vil vurdere hvorvidt det er forretningsmessig forsvarlig å gå til ytterligere rettslige skritt. Det påfører kreditor utgifter, og dette vil gjøre kreditor i en viss grad tilbakeholden med å ta slike skritt hvis kostnadene står i misforhold til fordringen eller utsiktene til å inndrive denne. Personvernnemnda anser at dette vil være tilstrekkelig for å sikre at det ikke rutinemessig tas rettslige skritt bare for å avbryte foreldelse og derav beholde adgangen til å opprettholde anmerkningene i registeret. Hvilket beløp som anses som betydelig og forretningsmessig forsvarlig å holde i live for en mulig senere tvangsinndrivelse av, vil også variere med den enkelte kreditor og størrelsen på hans virksomhet. Denne vurderingen bør derfor overlates til kreditor.
Etter dette er Personvernnemnda kommet til at klager gis medhold i den utstrekning at siste setning i konsesjonen pkt 4.2, 2.ledd strykes.
Slik nemnda ser det tok ikke Personvernnemnda eksplisitt stilling til spørsmålet om det innebar en maksimalgrense på to fireårsperioder i PVN-2004-05. Det som var tema da, var beløpsbegrensningen. Nemnda står derfor helt fritt i denne saken.
Datatilsynet anfører at nemndas uttalelser i PVN-2004-05 ikke er til hinder for at Datatilsynet fastsetter en øvre grense for opprettholdelse av betalingsanmerkninger og andre kredittopplysninger, gjennom en presisering av hvordan egne konsesjonsvilkår er å forstå. Det er Personvernnemnda for så vidt enig i. Datatilsynet kan fritt endre standardkonsesjonen ved å sette en eksplisitt grense for opprettholdelse av betalingsanmerkninger. Datatilsynet har imidlertid valgt å ikke endre konsesjonen, men kun uttalt seg om hvordan konsesjonsteksten skal forstås. Klager er uenig med Datatilsynet i denne tolkningen. Personvernnemnda må derfor tolke ordlyden i konsesjonens punkt 4.2 for å avgjøre denne klagen.
Forutsetningen i denne saken er at det er tale om fordringer som ikke kan resultere i tvangsforretning i fast eiendom eller løsøre. Dersom det tas nye rettslige skritt for å avbryte foreldelsesfristen, kan fordringen i følge konsesjonens pkt 4.2, 2. pkt benyttes i kredittopplysningsøyemed i ytterligere fire år. Det finnes ingen øvre grense i konsesjonsteksten. Noen slik grense kan heller ikke leses ut av PVN-2004-05. Etter nemndas syn har Datatilsynet tolket sitt eget vilkår, og tolket inn en begrensning som ikke står i konsesjonsteksten. Nemnda mener at når ordlyden ikke inneholder holdepunkter for noen øvre grense, blir det problematisk å tolke inn en slik grense. Etter nemndas syn blir det å trekke den naturlige språklig forståelsen av ordlyden for langt. Personvernnemnda mener at det korrekte må være å eventuelt endre konsesjonen slik at det kommer inn et nytt vilkår i konsesjonen med en eksplisitt øvre grense.
Nemnda skal bemerke at fordringer som kreditor velger å holde ved like slik at de ikke foreldes, vil mest sannsynlig gjelde kun ikke uvesentlige beløp. Nemnda antar derfor at det i praksis vil begrense seg selv hvor mange fireårsperioder det vil kunne bli i det enkelte tilfelle. Slik nemnda ser det vil det dreie seg om vesentlige fordringer som kreditor har en berettiget interesse i å holde ved like og som den registrerte ikke har en berettiget interesse i at blir slettet så lenge den er uoppgjort.
Personvernnemnda er enig med klager, konsesjonsteksten må tolkes slik at det ikke gjelder noen maksimal oppbevaringstid. Fordringen må slettes når det har gått mer enn fire år etter siste rettslige skritt.
Datatilsynets vedtak opprettholdes ikke.
7 Vedtak
Klagen tas til følge.
Oslo, 13. januar 2010
Eva I. E. Jarbekk
Leder