Journalnummer: 2005-631-0161
Datatilsynet har den 3. oktober 2005 telefonisk kontaktet Experian A/S i anledning af, at et stort antal personer overfor Datatilsynet har udtrykt utilfredshed med, at Experian A/S ikke vil give dem indsigt i, hvilke virksomheder der har givet Experian A/S deres navn og adresse med henblik på beregning af en Delphi Score. Med andre ord, hvem der har bestilt en Delphi Score på personen.
Datatilsynet har ligeledes den 3. oktober 2005 telefonisk meddelt Experian A/S, at personerne efter tilsynets opfattelse har ret til at få denne information efter persondatalovens § 22.
Herefter har Datatilsynet dags dato modtaget en henvendelse om spørgsmålet fra Experian A/S ved virksomhedens advokat.
Datatilsynet skal i den anledning udtale følgende:
Ifølge persondatalovens § 22 skal kreditoplysningsbureauer til enhver tid på begæring af den registrerede inden 4 uger på en let forståelig måde meddele denne indholdet af de oplysninger og bedømmelser, som bureauet har videregivet om den pågældende inden for de sidste 6 måneder, samt af de øvrige oplysninger, som bureauet på tidspunktet for begæringens fremsættelse opbevarer om den pågældende i bearbejdet form eller på digitalt medium, herunder foreliggende bedømmelser.
Af lovens § 22, stk. 2, følger, at hvis bureauet er i besiddelse af yderligere materiale om den registrerede, skal dette samtidig meddeles den pågældende med oplysning om materialets art samt om, at den registrerede kan få adgang til at gennemgå det ved personlig henvendelse til bureauet.
Herudover følger det af § 22, stk. 3, at bureauer endvidere skal give oplysning om kategorien af modtagere af oplysningerne samt tilgængelig information om, hvorfra de i stk. 1 og 2 nævnte oplysninger stammer.
Af persondatalovens forarbejder fremgår bl.a., at § 22, stk. 3, som er udtryk for en ændring af retstilstanden i forhold til lov om private registre § 11, stk. 3, er indsat for at tilpasse lovgivningen til databeskyttelsesdirektivets artikel 12, litra a.
I bemærkningerne til den generelle regel om indsigt i persondatalovens § 31 er bl.a. anført følgende:
”Endelig skal der gives den registrerede tilgængelig information om, hvorfra de oplysninger, der behandles, stammer, jf. nr. 4. Denne pligt gælder således kun, hvis der foreligger oplysning herom. Der påhviler ikke den dataansvarlige at tilvejebringe og opbevare sådanne oplysninger.”
Experian A/S har bl.a. anført, at et krav om, at den enkelte kundes navn skal oplyses, ikke er konsistent med bestemmelsens ordlyd og de retningslinier, som Datatilsynet har udstukket vedrørende indsigtsreglerne.
Datatilsynet har i sin rettighedsvejledning bl.a. anført følgende om, hvilke oplysninger der skal gives som svar på en indsigtsanmodning:
”Endelig skal der gives den registrerede tilgængelig information om, hvorfra de oplysninger, der behandles, stammer, jf. nr. 4. Denne pligt gælder kun, hvis oplysningerne om, hvorfra de registrerede oplysninger stammer, rent faktisk foreligger. Det påhviler således ikke den dataansvarlige at tilvejebringe og opbevare sådanne oplysninger. For den offentlige forvaltnings vedkommende må det i hvert fald for så vidt angår den digitale behandling af afgørelsessager imidlertid antages, at myndigheden som følge af reglerne om notatpligt med hensyn til væsentlige sagsbehandlingsskridt oftest vil være i besiddelse af information om, hvorfra oplysningerne i sagen stammer.”
Datatilsynet må lægge til grund, at Experian A/S er i besiddelse af informationer om, hvilken kunde der har givet bureauet oplysningerne om den person, der er blevet beregnet en Delphi Score på. Da oplysninger om, hvorfra Experian A/S har modtaget personens navn og adresse m.v., således er tilgængelige, er det Datatilsynets opfattelse, at oplysningerne skal gives efter persondatalovens § 22, stk. 3. Det bemærkes, at dette efter tilsynets opfattelse ligeledes følger af lovens generelle regel om indsigt, jf. § 31, stk. 1, nr. 4. Det af Experian A/S' advokat anførte ses ikke at kunne føre til andet resultat.
Datatilsynet har herved også lagt vægt på, at der i tilfældet med Delphi Score ikke er tale om forespørgsler om eksisterende registreringer hos Experian A/S. Henvendelsen fra Experian A/S’ abonnent med anmodning om en Delphi Score er således grunden til, at Experian A/S kommer i besiddelse af oplysninger om personer, som ikke i forvejen er registreret i bureauet.
Datatilsynet må således fastholde sin vurdering af spørgsmålet.
Tilsynet forventer at offentliggøre dette brev på sin hjemmeside.