Vedrørende registreringsmeddelelser fra kreditoplysningsbureau

Journalnummer: 2002-2211-0116

Ved breve af 27. september 2002 og 23. juni 2004 har RKI Kredit Information A/S (RKI) spurgt om omfanget af de bestræbelser, som kreditoplysningsbureauet skal foretage for at få bragt registreringsmeddelelser til de registreredes kundskab.

RKI har med henvisning til persondatalovens § 29, stk. 3, spurgt, om bureauet er forpligtet til at slette en registrering af en skyldner i tilfælde, hvor registreringsmeddelelsen udsendt i henhold til persondatalovens § 21 er kommet retur til bureauet - enten fordi det ikke er muligt for postvæsenet at aflevere meddelelsen, eller fordi den registrerede nægter at modtage meddelelsen, selv om bureauet via CPR-registret har fået verificeret, at skyldneren er tilmeldt adressen i folkeregistret.

Hvis det er Datatilsynets opfattelse, at bureauet er afskåret fra at opretholde registreringen i det beskrevne tilfælde, anmoder bureauet tilsynet om at tage stilling til, hvorvidt RKI i de tilfælde, hvor den registrerede er tilmeldt adressen hos folkeregistret, lovligt kan opretholde registreringen, selv om registreringsmeddelelsen ikke kan afleveres, bliver returneret, eller hvor den registrerede nægter at modtage meddelelsen, hvis den registrerede tidligere har modtaget meddelelsen om registrering hos RKI for en anden fordring.

Til brug for Datatilsynets vurdering af spørgsmålene har selskabet foretaget en mindre undersøgelse af udbyttet ved at sende en ny registreringsmeddelelse som anbefalet post, når den først udsendte registreringsmeddelelse er blevet returneret til RKI.

Undersøgelsen viser, at RKI i april 2004 har slettet 568 registreringer, fordi registreringsmeddelelsen blev returneret.

Herudover har selskabet yderligere modtaget 11 breve retur. Disse 11 breve er efterfølgende genfremsendt som anbefalet post. Ud af disse 11 breve blev 8 registreringer slettet, da registreringsmeddelelsen, trods genfremsendt som anbefalet post, kom retur. De resterende 3 breve blev afleveret i anden omgang – imidlertid blev 2 af de 3 breve afleveret uden at være sendt som anbefalet post, fordi brevene blev fremsendt til en ny adresse, som RKI i den mellemliggende periode havde fået oplyst fra CPR-registret.

I 5 af de 11 tilfælde havde RKI forud for første afsendelse af registreringsmeddelelsen, som blev afsendt med almindelig postbefordring, fået oplysninger om personens navn og adresse verificeret hos CPR-registret. RKI var således i disse situationer oplyst om, at personen var tilmeldt adressen hos folkeregistret. I 1 tilfælde havde RKI fået oplyst fra CPR-registret, at personen var uden fast bopæl. I de resterende 5 tilfælde kunne RKI ikke umiddelbart få verificeret oplysninger om navn og adresse hos CPR-registret. RKI oplyser i den forbindelse, at årsagen hertil imidlertid ikke behøver at være en forkert adresse, men lige så vel kan skyldes forkert stavemåde i navnet, eller at der er eller har været tilmeldt mere end en person med samme navn på adressen.

RKI har endvidere oplyst, at selskabet ved returnering af registreringsmeddelelsen får følgende oplysninger om årsagen til, at meddelelsen ikke kunne afleveres: 1) Modtageren hentede ikke forsendelsen, 2) Modtageren er flyttet eller 3) Modtageren er ubekendt på adressen.

RKI har desuden oplyst, at i andre tilfælde oplyser postvæsenet nogle gange, at personen har nægtet at modtage forsendelsen.

Datatilsynet skal – efter sagen har været behandlet på et møde i Datarådet – udtale følgende:

1. I persondatalovens § 21 er der fastsat regler om kreditoplysningsbureauers oplysningspligt over for de registrerede.

Det følger af persondatalovens § 21, at kreditoplysningsbureauer i overensstemmelse med § 28, stk. 1, eller § 29, stk. 1, skal give meddelelse om de oplysninger, der er nævnt i disse bestemmelser, til den, der behandles oplysninger om.

Ved indsamling af oplysninger hos den registrerede skal den dataansvarlige eller dennes repræsentant ifølge persondatalovens § 28, stk. 1, give den registrerede meddelelse om følgende:

1. Den dataansvarliges og dennes repræsentants identitet.
2. Formålene med den behandling, hvortil oplysningerne er bestemt.
3. Alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser, som f.eks.:
   a) Kategorierne af modtagere.
   b) Om det er obligatorisk eller frivilligt at besvare stillede spørgsmål samt mulige følger af ikke at svare.
   c) Om reglerne om indsigt i og om berigtigelse af de oplysninger, der vedrører den registrerede.

I tilfælde, hvor oplysninger indsamles hos tredjemand, følger det af lovens § 29, stk. 1, at det påhviler den dataansvarlige eller dennes repræsentant ved registreringen, eller hvor de indsamlede oplysninger er bestemt til videregivelse til tredjemand, senest når videregivelsen finder sted, at give den registrerede meddelelse om følgende:

1. Den dataansvarliges eller dennes repræsentants identitet,
2. Formålet med den behandling, hvortil oplysningerne er bestemt, samt
3. Alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser, som f.eks.:
   a) Hvilken type oplysninger det drejer sig om.
   b) Kategorierne af modtagere.
   c) Om reglerne om indsigt i og om berigtigelse af de oplysninger, der vedrører den registrerede.

Pligten til at give meddelelse i henhold til persondatalovens § 21 følger endvidere af de vilkår, som Datatilsynet har fastsat i henhold til kreditoplysningsbureauernes tilladelse til behandling af oplysninger der sker med henblik på erhvervsmæssig videregivelse til bedømmelse af økonomisk soliditet og kreditværdighed, jf. persondatalovens § 50, stk. 1, nr. 3.

I Justitsministeriets notat om direktiv 95/46/EF og kreditoplysningsbureauers behandling af personoplysninger er det beskrevet, at, som det fremgår af ordlyden af lovens § 21, er oplysningspligten ikke alene obligatorisk, der er endvidere ikke mulighed for at gøre undtagelse herfra.

2. Det er Datatilsynets opfattelse, at persondatalovens § 21 indebærer, at et kreditoplysningsbureau er forpligtet til at udsende en registreringsmeddelelse til den registrerede i alle tilfælde, hvor bureauet behandler oplysninger om vedkommende.

Det er på den baggrund Datatilsynets opfattelse, at persondatalovens § 21 ikke kan anses for opfyldt med henvisning til, at en person tidligere har modtaget en registreringsmeddelelse fra bureauet vedrørende en anden fordring.

Efter Datatilsynet opfattelse vedrører RKI’s henvendelse i øvrigt spørgsmålet om, hvor mange bestræbelser et kreditoplysningsbureau skal foretage, før persondatalovens § 21 vil være iagttaget i tilfælde, hvor den registreringsmeddelelse, som bureauet i det enkelte tilfælde har fremsendt, er kommet retur.

Det er Datatilsynets opfattelse, at den ubetingede oplysningspligt i medfør af lovens § 21 ikke kan antages at indebære, at det er en gyldighedsbetingelse for bureauets opretholdelse af registreringen, at registreringsmeddelelsen er kommet til den registreredes kundskab.

Datatilsynet kan herefter inden for rammerne af persondataloven acceptere, at RKI opretholder en registrering i tilfælde af:

• at bureauet har fremsendt en registreringsmeddelelse i henhold til persondatalovens § 21,
• at bureauet - i tilfælde hvor registreringsmeddelelsen kommer retur - foretager opslag i CPR-registret og får verificeret, at den registrerede fortsat er tilmeldt den omhandlede adresse i folkeregistret,
• at bureauet herefter genfremsender registreringsmeddelelsen med anbefalet post, og
• at bureauet herefter enten ikke får meddelelsen retur eller får den retur med angivelse af, at modtageren ikke har afhentet forsendelsen, eller at modtagelsen af forsendelsen er nægtet modtaget af den registrerede.

Datatilsynet skal i den forbindelse understrege, at det er RKI, der som dataansvarlig skal sikre sig, at lovens krav om fremsendelse af registreringsmeddelelse er opfyldt. Hvis bureauet vælger at følge en procedure som den beskrevne, forudsætter Datatilsynet, at bureauet sikrer sig dokumentation for, at proceduren er iagttaget, og at denne dokumentation kan tilvejebringes i forbindelse med en eventuel klage til Datatilsynet.

3. Datatilsynet forventer i løbet af kort tid at offentliggøre dette brev på sin hjemmeside.