Reglugerð nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust
I. KAFLI
Markmið, gildissvið og skilgreiningar
1. gr.
Markmið og gildissvið.
Markmið
reglugerðar þessarar er að tryggja öryggi, áreiðanleika og gæði vinnslu
upplýsinga sem varða fjárhagsmálefni og lánstraust einstaklinga,
fyrirtækja og annarra lögaðila. Reglugerðin tekur ekki til starfsemi sem
felst í útgáfu skýrslna um lánshæfi.
Reglugerðin á einvörðungu við
um vinnslu í því skyni að miðla upplýsingum til annarra um
fjárhagsmálefni og lánstraust. Ef ekki er stofnað til vinnslu í slíkum
tilgangi fellur hún utan gildissviðs reglugerðar þessarar. Það á t.d.
við um vinnslu sérhvers banka og sérhvers sparisjóðs á slíkum
upplýsingum sem einvörðungu er til eigin nota.
II. KAFLI
Skyldur ábyrgðaraðila.
2. gr.
Skyldur fjárhagsupplýsingastofa.
Söfnun
og skráning upplýsinga sem varða fjárhagsmálefni og lánstraust
einstaklinga og lögaðila, í því skyni að miðla þeim til annarra, er
óheimil án starfsleyfis sem Persónuvernd veitir. Þeim einum má veita
slíkt starfsleyfi sem að mati Persónuverndar er líklegur til að geta
fullnægt skyldum ábyrgðaraðila samkvæmt lögum um persónuvernd og meðferð
persónuupplýsinga, þ. á m. samkvæmt reglum sem Persónuvernd hefur sett
um trúnað, áreiðanleika, öryggi og innra eftirlit við vinnslu
persónuupplýsinga. Er handhafi slíks leyfis í reglum þessum nefndur
fjárhagsupplýsingastofa.
Persónuvernd getur bundið slíkt starfsleyfi
þeim skilmálum sem hún telur vera nauðsynlega hverju sinni. Skal hún þá
m.a. taka mið af þeim atriðum er greinir í 35. gr. laga um persónuvernd
og meðferð persónuupplýsinga. Ef sérstaklega stendur á að mati
Persónuverndar, getur stofnunin vikið frá ákvæðum reglugerðarinnar við
veitingu starfsleyfis.
3. gr.
Persónuupplýsingar sem
fjárhagsupplýsingastofu er heimilt að vinna með.
Fjárhagsupplýsingastofu
er einungis heimilt að vinna með upplýsingar sem eðli sínu samkvæmt
hafa afgerandi þýðingu við mat á fjárhag og lánstrausti hins skráða.
Aldrei er þó heimilt að vinna með viðkvæmar persónuupplýsingar, sbr. 8.
tl. 2. gr. laga um persónuvernd og meðferð persónuupplýsinga.
Fjárhagsupplýsingastofu er heimilt að vinna með upplýsingar um nafn
manns eða lögaðila, heimilisfang, kennitölu, félagsform, stöðu og
atvinnu eða aðrar upplýsingar sem hægt er að fá úr opinberum skrám.
Upplýsingar um skuldastöðu aðila má ekki veita með þeim hætti að þær
geti verið grundvöllur mats á fjárhagslegri stöðu annars en þess er
upplýsingarnar varða beinlínis.
Persónuvernd getur veitt
fjárhagsupplýsingastofu sérstaka heimild til að safna og vinna með
upplýsingar um önnur atriði en þau sem greind eru í 2. mgr.
Upplýsingar um fjárhagsmálefni og lánstraust, sem eldri eru en fjögurra
ára, er fjárhagsupplýsingastofu óheimilt að skrá eða miðla nema ótvírætt
sé að viðkomandi upplýsingar hafi enn verulega þýðingu við mat á
fjárhag eða lánstrausti hins skráða.
4. gr.
Viðvörunar- og fræðsluskylda.
Þegar
fjárhagsupplýsingastofa safnar fjárhagsupplýsingum frá öðrum en hinum
skráða skal hún samtímis gera hinum skráða viðvart og skýra honum frá
eftirtöldum atriðum:
1. hvert sé nafn og heimilisfang fjárhagsupplýsingastofu;
2. hver beri daglega ábyrgð á því að fullnægt sé skyldum ábyrgðaraðila
samkvæmt lögum um persónuvernd og meðferð persónuupplýsinga og reglum
sem settar hafa verið á grundvelli þeirra;
3. hver sé tilgangur vinnslunnar;
4. hvaða persónuupplýsingar um viðkomandi verði unnið með;
5. hvaðan upplýsingar koma;
6. hverjir verði viðtakendur upplýsinga, þar á meðal um hvort ætlunin
sé að miðla upplýsingum um Netið eða flytja þær með öðrum hætti úr
landi, hvernig og til hverra.
Fjárhagsupplýsingastofu ber að senda
viðvörun skv. 1. mgr. eigi síðar en 14 dögum áður en upplýsingunum er
miðlað í fyrsta sinn. Slík skylda á ekki við ef ætla má að hinum skráða
sé þegar kunnugt um vinnsluna, svo sem vegna þess að hann hafi fengið
tilkynningu þegar nafn hans var í fyrsta sinn fært á umrædda skrá, enda
hafi ekki lengri tími en eitt ár liðið frá síðustu skráningu.
Persónuvernd getur mælt fyrir um víðtækari eða einfaldari
viðvörunarskyldu.
Ef upplýsingar um fjárhagsmálefni og lánstraust
eru fengnar hjá hinum skráða skal fjárhagsupplýsingastofa fræða hann um
hver sé ábyrgðaraðili, hvert sé markmið söfnunarinnar, hvernig
auðkenningu upplýsinga verði hagað, hverjum upplýsingarnar verði
afhentar, hvort honum sé skylt eða valfrjálst að veita umbeðnar
upplýsingar og hvaða afleiðingar það kunni að hafa í för með sér geri
hann það ekki. Fræðsluskyldan hvílir á forsvarsmanni viðkomandi
fjárhagsupplýsingastofu, eða eftir atvikum starfsmanni hans eða
vinnsluaðila, en fellur brott hafi hinn skráði þegar fengið vitneskju um
þessi atriði.
Frekari fræðslu skal veita ef það er nauðsynlegt til
að tryggja að hinn skráði geti gætt hagsmuna sinna, t.d. fræða hann um
upplýsingarétt sinn samkvæmt lögum um persónuvernd og meðferð
persónuupplýsinga.
5. gr.
Leiðrétting og eyðing persónuupplýsinga.
Hafi
fjárhagsupplýsingastofa unnið með upplýsingar sem eru rangar, villandi
eða ófullkomnar, eða hafi persónuupplýsingar verið skráðar án
tilskilinnar heimildar, skal hún sjá til þess að upplýsingarnar verði
leiðréttar, þeim eytt eða við þær aukið ef umræddur annmarki getur haft
áhrif á hagsmuni hins skráða. Hafi slíkum upplýsingum verið miðlað eða
þær notaðar ber ábyrgðaraðila, eftir því sem honum er frekast unnt, að
hindra að það hafi áhrif á hagsmuni hins skráða.
Ef eyðing eða
breyting þeirra upplýsinga sem um ræðir í 1. mgr. er óheimil samkvæmt
ákvæðum annarra laga getur Persónuvernd bannað notkun upplýsinganna.
Eyða skal jafnharðan úr skrám fjárhagsupplýsingastofu upplýsingum sem
eru eldri en fjögurra ára, nema annað sé sérstaklega heimilað í
starfsleyfi frá Persónuvernd.
Um eyðingu og bann við notkun
persónuupplýsinga sem hvorki eru rangar né villandi fer samkvæmt 26. gr.
laga um persónuvernd og meðferð persónuupplýsinga.
6. gr.
Hvernig má miðla upplýsingum.
Upplýsingar
um fjárhag og atriði er varða mat á lánstrausti má láta öðrum í té
skriflega eða með netlínutengingu við áskrifendur, sem gerir þeim kleift
að fletta upp einstökum aðilum (einum í einu). Skal þess gætt að
viðhafa nauðsynlegar öryggisráðstafanir til að fyrirbyggja að
áskrifendur geti afritað skrána, samtengt hana við aðrar skrár eða unnið
með hana á annan hátt en til uppflettingar. Að öðru leyti skal
Persónuvernd tilgreina nánar í starfsleyfi með hvaða aðferð
hlutaðeigandi fjárhagsupplýsingastofu er heimilt að láta frá sér
upplýsingar.
Upplýsingar um nafn og heimilisfang fyrirspyrjanda skal
ávallt skrá, svo og hverjum fyrirspyrjandi hefur flett upp. Varðveita
skal gögn um þetta í a.m.k. 2 ár.
Óheimilt er að miðla upplýsingum
um nafn aðila ef fjárhagsupplýsingastofu er kunnugt um að sú krafa, er
liggur skráningu til grundvallar, hafi verið greidd eða henni komið í
skil með öðrum hætti. Á þetta við hvort heldur um er að ræða almennt
aðgengilegar upplýsingar eða ekki. Sýni skráður aðili
fjárhagsupplýsingastofu fram á að umrædd krafa hafi verið að fullu
greidd, eða henni komið í skil með öðrum hætti, ber
fjárhagsupplýsingastofu að stöðva alla frekari miðlun umræddra
upplýsinga. Þetta gildir þó ekki um skráðar upplýsingar um
gjaldþrotaúrskurði og skiptalok.
III. KAFLI
Réttur hins skráða.
7. gr.
Upplýsingaréttur hins skráða
Nú
telur aðili að unnið sé með fjárhagsupplýsingar um hann og er
fjárhagsupplýsingastofu þá skylt að skýra honum frá því, óski hann þess.
Skal það gert sem fyrst og eigi síðar en innan tveggja vikna frá því að
ósk kom fram. Skal í svari fjárhagsupplýsingastofunnar greint frá þeim
upplýsingum sem hún hefur unnið með og látið frá sér fara á síðustu
tveimur árum um hagi beiðanda.
Samkvæmt 1. mgr. á hinn skráði m.a. rétt á að fá upplýsingar um:
1. hvaða upplýsingar um hann er eða hefur verið unnið með;
2. tilgang vinnslunnar;
3. hver fær, hefur fengið eða getur fengið upplýsingar um hann;
4. hvaðan upplýsingarnar hafa komið;
5. hvaða öryggisráðstafanir eru og verði viðhafðar við vinnslu.
Hafi fjárhagsupplýsingastofan í vörslum sínum frekari upplýsingar um
hinn skráða en þær sem beiðnin lýtur að er fjárhagsupplýsingastofu skylt
að gera beiðanda grein fyrir þeim og jafnframt fyrir rétti hans til að
kynna sér efni gagna af eigin raun.
Hinn skráði getur gert kröfu um
að fá svör skv. 1.–3. mgr. frá ábyrgðaraðila, eða eftir atvikum fulltrúa
hans, ef það á við, skriflega.
8. gr.
Andmælaréttur hins skráða.
Þegar hinum skráða berst frá fjárhagsupplýsingastofu viðvörun skv. 4. gr. er honum heimilt að andmæla vinnslu slíkra upplýsinga um sjálfan sig, ef hann hefur til þess lögmætar og knýjandi ástæður. Beri aðili fram slík andmæli, og eigi þau rétt á sér, er fjárhagsupplýsingastofu óheimilt að miðla upplýsingunum. Berist fjárhagsupplýsingastofu slík beiðni en telji hana ekki eiga rétt á sér skal hún greina frá niðurstöðu sinni með skriflegum hætti, eigi síðar en innan 14 daga frá því beiðnin barst henni. Í synjun skal leiðbeina hinum skráða um rétt hans til að kæra synjunina til Persónuverndar innan þriggja mánaða.
IV. KAFLI
Gildistaka o.fl.
9. gr.
Reglugerð þessi, sem sett er samkvæmt heimild í 2. mgr. 45. gr. laga um persónuvernd og meðferð persónuupplýsinga, nr. 77 23. maí 2000, öðlast þegar gildi.
Dóms- og kirkjumálaráðuneytinu, 13. mars 2001.
Sólveig Pétursdóttir.
Björn Friðfinnsson.