Notkun Creditinfo Lánstrausts hf. á upplýsingum um tengd félög við gerð skýrslna um lánshæfi skráðs einstaklings

Mál nr. 2020031161

7.4.2021

Úrskurður

Hinn 10. mars 2021 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2020031161:

I.

Málsmeðferð

1.

Tildrög máls og bréfaskipti

Hinn 11. mars 2020 barst Persónuvernd kvörtun frá [B] lögmanni f.h. [A] (hér eftir nefndur kvartandi) yfir vinnslu persónuupplýsinga um hann hjá Creditinfo Lánstrausti hf. (Creditinfo) í tengslum við gerð skýrslna um lánshæfi hans, sem og félaganna [X] ehf. og [Y] ehf. Nánar tiltekið er kvartað yfir því að Creditinfo hafi synjað kröfu um leiðréttingu á lánshæfismati framangreindra aðila.

Með bréfi, dags. 2. nóvember 2020, sendi Persónuvernd kvartanda bréf þar sem hann var upplýstur um afmörkun málsins hjá stofnuninni, sbr. nánar kafla I.3 hér á eftir. Með bréfi, dags. sama dag, var Creditinfo boðið að tjá sig um kvörtunina. Svaraði Creditinfo með bréfi, dags. 23. nóvember 2020.

Við úrlausn málsins hefur verið tekið tilliti til allra framangreindra gagna þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

2.

 

Nánar um kvörtun

Kvartað er yfir synjun Creditinfo á kröfu um leiðréttingu á lánshæfismati kvartanda, sem og félaganna [X] ehf. og [Y] ehf. Krefst kvartandi þess að lánshæfismat allra framangreindra aðila verði leiðrétt þannig að það endurspegli fjárhagsstöðu og greiðslugetu þeirra. Þá er þess krafist að sögulegt lánshæfisyfirlit [Y] ehf. verði leiðrétt.

Fram kemur í kvörtuninni að [Y] ehf. hafi, fram í nóvember 2019, verið að fullu í eigu félagsins [X] ehf. sem sé í einkaeigu kvartanda og eiginkonu hans (þ.e. 50% í eigu kvartanda), en þá hafi 40% hlutafjárins í [Y] ehf. verið seld til [Z] ehf.

Kvartandi kveður að framangreind félög og hann sjálfur standi á fjárhagslega mjög traustum grunni og að hætta á greiðslufalli þeirra allra sé hverfandi. Kvartandi hafi boðist til að leggja fram gögn til stuðnings framangreindu en því hafi Creditinfo hafnað og jafnframt synjað um endurskoðun á lánshæfismatinu.

3.

 

Afmörkun máls

Persónuvernd sendi kvartanda bréf, dags. 2. nóvember 2020, þar sem hann var upplýstur um að það félli utan valdssviðs Persónuverndar að úrskurða um vinnslu upplýsinga um [X] ehf. og [Y] ehf. Í því sambandi vísaði Persónuvernd til þess að gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, næði til vinnslu upplýsinga um einstaklinga, sbr. 1. mgr. 4. gr. og 2. gr. og 2. tölul. 3. gr. laganna. Í 1. mgr. 15. gr. laganna væri að finna undantekningu frá framangreindri afmörkun gildissviðs en þar kæmi meðal annars fram að þegar um ræddi vinnslu upplýsinga um fjárhagsmálefni og lánstraust lögaðila giltu eingöngu tiltekin ákvæði laganna. Ákvæði 39. gr. laganna, sem fjalla meðal annars um réttinn til að leggja fram kvörtun hjá Persónuvernd, væru ekki þar á meðal.

Með vísan til framangreinds var kvartandi upplýstur um að Persónuvernd myndi einungis taka til meðferðar þann hluta kvörtunarinnar sem lýtur að vinnslu persónuupplýsinga hjá Creditinfo í tengslum við gerð lánshæfismats um kvartanda sjálfan.

4.

 

Sjónarmið Creditinfo Lánstrausts hf.

Creditinfo bendir á að lánshæfismat fyrirtækisins meti líkur á greiðslufalli og skráningu á vanskilaskrá næstu tólf mánuði. Lánshæfismatið sé reiknað út frá sömu forsendum fyrir alla einstaklinga 18 ára og eldri, sem ekki séu með virka skráningu á vanskilaskrá og með skráð lögheimili á Íslandi samkvæmt þjóðskrá. Það sé því ekki reiknað út frá framlögðum gögnum hinna skráðu í einstaka tilfellum og upplýsingar um eignir og tekjur séu ekki meðal þeirra gagna sem Creditinfo hafi heimild til að vinna með við gerð lánshæfismats. Vísar Creditinfo til þess að greiðslumati sé ætlað að meta greiðslugetu einstaklinga og skýrt sé kveðið á um það í reglugerð um lánshæfis- og greiðslumat nr. 920/2013 á hvaða gögnum greiðslumat skuli byggt. Því sé hins vegar ekki fyrir að fara að skýrt sé kveðið á um það í framangreindri reglugerð, eða lögum nr. 33/2013 um neytendalán, hvaða gögn skuli nota við gerð lánshæfismats. Engu að síður sé ljóst að samkvæmt lögunum sé rík áhersla lögð á að gert sé áreiðanlegt lánshæfismat í aðdraganda samnings um neytendalán, sem meti líkurnar á því að lántaki geti staðið í skilum með skuldbindingar sínar.

Söguleg gögn um vanskil sýni að þeir aðilar sem tengjast fyrirtækjum í fjárhagslegum vandræðum séu mun líklegri en aðrir til að lenda í vanskilum á næstu 12 mánuðum, og þeim mun líklegri eftir því sem tengslin séu sterkari. Bent er á að tengsl við fyrirtæki séu einstaklingum oftar en ekki til framdráttar en tengingar við fjárhagslega sterk fyrirtæki sem ekki séu með opin vanskil og með gott lánshæfismat geti haft jákvæð áhrif á lánshæfismat viðkomandi. Sé staða fyrirtækja skoðuð í þessu sambandi sé bæði horft til þess hvort fyrirtæki séu með virkar skráningar á vanskilaskrá, sem og þess í hvaða lánshæfisflokki þau séu. Lánshæfi fyrirtækja hjá Creditinfo sé metið á kvarðanum 1-10 þar sem mestar líkur séu á að fyrirtæki með lánshæfiseinkunn 10 fái skráningu á vanskilaskrá næstu 12 mánuði en minnstar líkur hjá fyrirtækjum með lánshæfiseinkunn 1.

Creditinfo bendir á úrskurð Persónuverndar í máli nr. 202000592 þar sem fjallað hafi verið um tengsl skráðs einstaklings við fyrirtæki við gerð lánshæfismats. Þar hafi Persónuvernd talið eignarhald kvartanda í félagi leiða til þess að ekki væri óeðlilegt að tekið væri mið af fjárhagsstöðu þess við mat á greiðsluvilja og skilvísi kvartanda sjálfs. Persónuvernd hafi því talið slíkar upplýsingar hafa umtalsverða þýðingu við mat á fjárhag og lánstrausti kvartanda og að notkun þeirra við gerð skýrslna um lánshæfi kvartanda væri í samræmi við tilganginn með gerð lánshæfismats. Persónuvernd hafi talið vinnsluna eiga sér stoð í 6. tölul. 9. gr. laga nr. 90/2018.

Creditinfo vísar til þess að í því tilfelli sem hér um ræði hafi kvartandi verið tengdur þeim félögum sem fjallað sé um í kvörtun og hafi staða þeirra áhrif á lánshæfismat kvartanda. Annars vegar hafi verið um að ræða félagið [X] ehf., en kvartandi hafi verið eigandi, stjórnarmaður og prókúruhafi þess félags. Hins vegar hafi verið um að ræða félagið [Y] ehf., en kvartandi hafi verið framkvæmdastjóri, stjórnarmaður og prókúruhafi þess félags. Lánshæfismatseinkunn [X] ehf. hafi á þeim tíma verið 6 og einkunn [Y] ehf. hafi verið 8.

Með vísan til framanritaðs telji Creditinfo að fyrirtækið hafi farið að ákvæðum starfsleyfis til vinnslu upplýsinga um einstaklinga og lögaðila sem fer fram í þágu gerðar skýrslna um lánshæfismat, dags. 16. júlí 2018 (mál nr. 2018/1229), lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga svo og reglum settum á grundvelli þeirra laga.

II.

Forsendur og niðurstaða

1.

Gildissvið

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Mál þetta lýtur að vinnslu persónuupplýsinga um kvartanda við gerð skýrslna um lánshæfi hans hjá Creditinfo. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst Creditinfo Lánstraust hf. vera ábyrgðaraðili að þeirri vinnslu sem kvartað er yfir, þ.e. vinnslu persónuupplýsinga við gerð lánshæfismats um kvartanda.

2.

Starfsleyfi Creditinfo Lánstrausts hf.

Starfræksla fjárhagsupplýsingastofa og vinnsla upplýsinga sem varða fjárhagsmálefni og lánstraust einstaklinga og lögaðila, þ.m.t. vanskilaskráning og gerð lánshæfismats, í því skyni að miðla þeim til annarra, skal bundin leyfi Persónuverndar, sbr. 15. gr. laga nr. 90/2018. Starfsemi Creditinfo fellur að miklu leyti undir framangreint ákvæði og hefur Persónuvernd veitt fyrirtækinu starfsleyfi í samræmi við það, sbr. nú hvað einstaklinga varðar starfsleyfi Creditinfo vegna vinnslu upplýsinga upplýsinga um fjárhagsmálefni og lánstraust, dags. 29. desember 2017 (mál nr. 2017/1541), og starfsleyfi til bráðabirgða vegna vinnslu persónuupplýsinga í þágu gerðar lánshæfismats, dags. 16. júlí 2018 (mál nr. 2018/1229).

3.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018. Má þar nefna 6. tölul. ákvæðisins, sbr. e-lið 1. mgr. 6. gr. reglugerðarinnar, en þar kemur fram að vinnsla persónuupplýsinga er heimil ef hún er nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra. Telur Persónuvernd þetta ákvæði eiga við um þá vinnslu persónuupplýsinga sem fer fram í upplýsingakerfum Creditinfo í tengslum við gerð skýrslna um lánshæfi kvartanda.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

Creditinfo hefur heimild til söfnunar og skráningar upplýsinga, sem varða fjárhagsmálefni og lánstraust einstaklinga, samkvæmt starfsleyfi Persónuverndar, dags. 23. desember 2016 (sbr. mál nr. 2017/1541 hjá Persónuvernd). Þetta starfsleyfi er bundið því skilyrði að við meðferð upplýsinga sé í einu og öllu farið að ákvæðum reglugerðar nr. 246/2001. Í 3. gr. þeirrar reglugerðar er fjallað um persónuupplýsingar sem fjárhagsupplýsingastofu er heimilt að vinna með. Í 1. mgr. þeirrar greinar kemur fram að fjárhagsupplýsingastofu er einungis heimilt að vinna með upplýsingar sem eðli sínu samkvæmt hafa afgerandi þýðingu við mat á fjárhag og lánstrausti hins skráða.

Hér reynir á hvort Creditinfo hafi mátt notast við upplýsingar um lánshæfiseinkunn félaganna [X] ehf. og [Y] ehf. við gerð skýrslna um lánshæfi kvartanda. Eins og áður hefur komið fram var kvartandi á þessum tíma skráður 50% eigandi að [X] ehf. ásamt því að vera stjórnarmaður og prókúruhafi félagsins. Þá var kvartandi skráður framkvæmdastjóri, stjórnarmaður og prókúruhafi [Y] ehf., sem var að fullu í eigu [X] ehf. fram til nóvember 2019 en eftir það í 60% eigu kvartanda og eiginkonu hans.

Persónuvernd hefur áður tekið þá afstöðu að Creditinfo hafi verið heimilt að notast við upplýsingar um fjárhagsstöðu tengds félags við útreikning á lánshæfismati skráðs einstaklings. Vísast um það til úrskurðar Persónuverndar, dags. 11. september 2020, í máli nr. 2020010592. Í því máli voru atvik þó þannig að kvartandi var skráður 100% eigandi viðkomandi félags en ekki 50% eigandi eins og hér háttar til hvað annað félagið varðar. Eins og atvikum er hér háttað telur Persónuvernd þó eignar- og stjórnunarleg tengsl kvartanda við félögin [X] ehf. og [Y] ehf. leiða til þess að sömu sjónarmið eigi við í þessu máli og í máli nr. 2020010592, varðandi heimild Creditinfo til notkunar upplýsinga um tengd félög við gerð lánshæfismats um kvartanda. Að öðru leyti vísast um það og rökstuðning þar að lútandi til áðurnefnds úrskurðar.

Með vísan til framangreinds telur Persónuvernd vinnslu Creditinfo á umræddum upplýsingum við gerð skýrslu um lánshæfi kvartanda hafa átt stoð í 6. tölul. 9. gr. laga nr. 90/2018. Þá verður ekki séð að farið hafi verið gegn kröfum 8. gr. sömu laga, meðal annars um sanngirni, meðalhóf og áreiðanleika við vinnsluna.

Ú r s k u r ð a r o r ð:

Notkun Creditinfo Lánstrausts hf. á upplýsingum um tengsl [A] við fyrirtækin [X] ehf. og [Y] ehf., við gerð skýrslu um lánshæfi hans, samrýmdist lögum nr. 90/2018 og reglugerð (ESB) 2016/679.

Persónuvernd, 10. mars 2021

 

Ólafur Garðarsson
starfandi formaður

 

 

Björn Geirsson                              Vilhelmína Haraldsdóttir

 

Þorvarður Kári Ólafsson