Journalnummer: 2010-229-0012
1.
Ved brev af 6. december 2010 med bilag har JHS AdVi v/Jan Høj Sørensen (herefter ’JHS Ad-Vi’) på vegne af HOSS ApS rejst spørgsmål over for Datatilsynet om etablering af et register (advarselsregister), som indeholder frivillige registreringer på baggrund af et specifikt samtykke.
JHS AdVi har oplyst, at Datatilsynet flere gange har vurderet muligheden for, at et kreditoplysningsbureau kan foretage frivillig registrering, og at Datatilsynet hidtil har ment, at der ikke er hjemmel i persondatalovens bestemmelser til at gøre det.
JHS AdVi mener, at sagen bør genovervejes, specielt set i lyset af, at der er et reelt behov (blandt andet udtrykt af Center for Ludomani), og at registret skal oprettes ud fra bestemmelserne omkring advarselsregistre.
JHS AdVi har oplyst, at virksomheden gennem længere tid har arbejdet sammen med Den Sociale Retshjælp og derigennem endnu engang fået bekræftet, at der er brug for at etablere et system, hvor det af flere grunde er muligt via en frivillig registrering baseret på et udtrykkeligt samtykke at ”advare” andre mod umiddelbart at indgå kreditforhold med én. En advarsel, der især, men ikke alene, kan begrundes ved ID-tyveri, hvor vedkommendes tilværelse kan blive totalt ødelagt.
JHS AdVi har endvidere henvist til, at frivillig registrering bl.a. kendes i Norge.
JHS AdVi har vedlagt en nærmere beskrivelse af det påtænkte system.
2.1. Kort om registret
Af den fremsendte beskrivelse af systemet fremgår, at HOSS ApS skal være dataansvarlig for løsningen. HOSS ApS er efter det oplyste et socialt økonomisk selskab etableret med henblik på at skabe løsninger omkring sociale forhold. HOSS ApS samarbejder ifølge det oplyste i det daglige med Den Sociale Retshjælp, Gældskompagniet og en række andre offentlige og private aktører.
HOSS ApS vil som et af sine projekter etablere og drive et Center for Frivillig Registrering, hvor det efter principperne omkring et advarselsregister skal være muligt for privatpersoner at oprette og opbevare sin egen frivillige registrering.
Selve behandlingen (registrering, distribution m.v.) af oplysningerne skal ske efter sikkerhedsmæssige forskrifter anført i persondataloven, og oprettelsen af systemet skal ske med tilladelse fra Datatilsynet.
2.2. Kategorier af personer, der kan blive registreret
Det fremgår herudover, at de personer, som kan blive registreret i advarselsregistret, er:
- personer, som af den ene eller anden grund ønsker at gøre kreditgivere opmærksomme på, at disse ikke umiddelbart skal sige ja til at give vedkommende kredit, og
- personer, som har mistet et identitetspapir og i den forbindelse er bekymret for, at det vil blive misbrugt.
Vedrørende personkategori 1 er det oplyst, at Den Sociale Retshjælp og Gældskompagniet gennem sagsbehandling for klienter ofte møder personer, der af den ene eller anden grund har svært ved at styre deres økonomi, og at disse personer bliver hjulpet af Den Sociale Retshjælp og Gældskompagniet til at få styr på økonomien. Arbejdet med at få overblik sker bl.a. ved en indledende screening, hvor personen har givet Den Sociale Retshjælp eller Gældskompagniet fuldmagt til at indhente samtlige oplysninger hos de forskellige kendte kreditorer og hos kreditoplysningsbureauerne.
Ved screeningen viser det sig ofte, at disse personer har en ikke ubetydelig, men gammel gæld hos flere kreditorer, og ofte har de stået registreret hos et kreditoplysningsbureau for disse forhold, men grundet persondatalovens bestemmelser omkring forældelse, jf. § 20, stk. 3, er de ikke længere registreret eller på vej til meget snart at blive slettet af registret.
Disse personer har i forbindelse med arbejdet omkring etablering af overblik og handlingsplan for afviklingen af gælden ret ofte brug for at få den hjælp, der ligger i fortsat at kunne advare andre potentielle nye kreditgivere om, at kreditgiver ikke umiddelbart skal yde en kredit, så længe de er opført i systemet med en frivillig registrering. De pågældende personer har dybest set ikke nogen interesse i at optage yderligere lån, når de samtidig ved, at de ikke kan betale dem tilbage.
Det fremgår endvidere af den fremsendte beskrivelse, at Datatilsynet i tidligere afgørelser omkring frivillig registrering i sit nej til at give en tilladelse bl.a. har lagt vægt på, at formålet med frivillig registrering ikke har været at advare kreditgivere mod, at den registrerede er en ”dårlig betaler”. Tilsynet har således haft den opfattelse, at formålet med registreringen derimod snarere må antages at være hensynet til den pågældende selv, der på den måde søger at opnå en form for sikkerhed mod yderligere gældsstiftelse.
JHS AdVi har anført, at det ud fra tilkendegivelser er virksomhedens helt klare opfattelse, at kreditgivere ikke har interesse i at give kredit til nogen, som man på forhånd ved, ikke kan betale, hvorfor formålet med frivillig registrering efter virksomhedens opfattelse i høj grad har at gøre med at advare mod at give kredit.
JHS AdVi har videre anført, at man ikke skal underkende, at den frivillige registrering samtidig er et rigtig godt ”værktøj” til at demonstrere over for personens nuværende kreditorer, at den pågældende fuldt ud er indstillet på at ville overholde betingelserne for handlingsplanen for afvikling af gælden og i den periode ikke optage ny gæld. Der er med andre ord tale om hjælp til selvhjælp.
Det fremgår endelig, at der til denne kategori af personer, som kan have stor gavn og glæde af en frivillig registrering, også hører mennesker, der er meget styret af impulsive handlinger; ofte unge mennesker med en eller anden form for forstyrrelse i impulsiviteten (f.eks. ADHD), som nu er blevet myndige og dermed meget hurtigt kan sætte økonomien over styr ved uhæmmet at optage lån, som de ikke kan betale tilbage. Disse personer har ofte brug for at have en personlig og uafhængig rådgiver inde over, inden de indgår i et kreditforhold.
Vedrørende personkategori 2 er det oplyst, at der gennem tidens løb i medierne har været skrevet en del om, hvor let det er at misbruge andre personers identitet. Der har sågar været tale om egentlig identitetstyveri, som har givet den forurettede meget store problemer rent praktisk med at blive ”genindsat” i egen identitet og samtidig også har givet mange ar på sjælen i form af den voldsomme krænkelse, identitetstyveri har medført.
Center for Frivillig Registrering /HOSS ApS vil tilbyde alle, der af den ene eller anden årsag har frygt for, at deres identitet kan blive misbrugt, at de frivilligt kan blive optaget i dette system. Registreringen vil således være med til at sikre, at kreditgivere bliver advaret om, at der er noget galt, hvis nogen anvender vedkommendes identitet.
2.3. Kriterier for optagelse i registret
Vedrørende optagelse i systemet fremgår det, at tanken er, at myndige personer kan optage sig selv/få sin egen optagelse, og selve optagelsen i systemet skal udelukkende kunne ske med et udtrykkeligt og specifikt samtykke afgivet af personen selv og med den tilstrækkelige sikkerhed for, at det er en frivillig viljestilkendegivelse.
Personen vil kunne afgive et frivilligt samtykke i form af en skriftlig tilkendegivelse med underskrift vedlagt behørig billeddokumentation eller i form af en elektronisk tilmelding ved anvendelse af digital signatur, NemID eller tilsvarende sikre identifikationssystemer.
JHS AdVi har anført, at det er meget svært at angive, hvor mange registreringer der forventes at blive oprettet i Center for Frivillig Registrering, men at det afgørende heller ikke er antallet, men derimod at det for den enkelte person har stor betydning.
Vedrørende sletning fremgår det, at det er JHS AdVi’s opfattelse, at en frivillig registrering skal kunne bestå i op til 2 år, medmindre personen selv har tilbagekaldt den forinden.
Idet der er tale om et frivilligt samtykke til en optagelse i systemet, vil personen til enhver tid kunne trække samtykket tilbage, hvorefter registreringen bliver slettet med det samme.
2.4. Videregivelse af oplysninger fra registret
Vedrørende videregivelse af oplysninger fremgår det, at oplysningerne vil blive gjort tilgængelige via eksisterende kreditoplysningsbureauers systemer, men på en sådan måde, at man kan se, at der er tale om optagelse fra Center for Frivillig Registrering. Man vil ikke kunne se, hvad der er årsag til optagelsen, men kun at der er tale om en person, som af en eller anden årsag har bedt om sin egen optagelse. Hensigten er så, at kreditgiver kan rette henvendelse til Center for Frivillig Registrering for eventuelle yderligere oplysninger, som er aftalt med den registrerede. Også her vil et kardinalpunkt være, at medmindre der er tale om mistet identitetskort, så vil der ikke blive oplyst årsag til optagelse i Center for Frivillig Registrering.
Det fremgår videre, at kreditoplysningsbureauet Experian A/S har udviklet et system, hvor man som kreditgiver via tilknytning til et advarselsregister kan få adgang til oplysninger i et bestemt advarselsregister. Når kreditgivere, der er tilknyttet advarselsregistret, søger oplysninger på en bestemt person, så vil eventuelle oplysninger fra advarselsregistret blive præsenteret for kreditgiveren på et særskilt/adskilt billede, så kreditgiver tydeligt kan se, at der er tale om oplysninger fra et andet system end Experian A/S’ eget register med betalingsanmærkninger.
Det fremgår videre, at man kunne forestille sig, at distribution af oplysninger fra Center for Frivillig Registrering kan ske via sådan et specielt system eller alternativt, at oplysningerne distribueres sammen med øvrige oplysninger fra kreditoplysningsbureauet, dog på en sådan måde, at man via f.eks. felterne ”indberetter/kreditor” eller lignende felter klart indikerer, at det er oplysninger fra det frivillige register, Center for Frivillig Registrering. I forbindelse med visning af oplysningerne vil kreditgiver blive opfordret til at kontakte Center for Frivillig Registrering med henblik på eventuelle afklarende spørgsmål.
Det fremgår endelig, at alle kreditgivere tilknyttet det enkelte kreditoplysningsbureau skal have adgang til oplysningerne i det frivillige register.
JHS AdVi har telefonisk oplyst, at HOSS ApS vil være indstillet på at begrænse adgangen til Center for Frivillig Registrering, således at oplysningerne alene videregives til HOSS ApS’ egne abonnenter/brugere, og at ethvert opslag hos RKI således ikke automatisk medfører opslag hos Center for Frivillig Registrering.
2.5. Øvrige oplysninger om registret
Vedrørende oplysningspligt fremgår det, at oplysningspligten i forbindelse med optagelse i Center for Frivillig Registrering vil blive løftet i kraft af det samtykke, som personen afgiver, men at man trods dette forhold godt kunne tænke sig indarbejdet en eller anden form for ekstra kontrol, f.eks. i form af et brev til den pågældende persons folkeregisteradresse.
Vedrørende indsigt og klagemuligheder fremgår det, at der vil blive skabt mulighed for, at man på alle mulige sikre måder vil kunne få adgang til/aktindsigt i egne oplysninger. I starten vil der være tale om adgang til registret via telefon, brev eller mail og senere meget gerne elektronisk adgang via sikre systemer så som digital signatur.
HOSS ApS vil som dataansvarlig etablere et system til behandling af eventuelle klager, og indretningen af dette vil ske i overensstemmelse med de krav, som er anført i persondataloven eller de eventuelle specielle krav, Datatilsynet måtte have.
Vedrørende datasikkerhed fremgår det, at indretningen naturligvis vil ske i overensstemmelse med kravene i persondataloven samt eventuelle specielle krav fra Datatilsynet.
Når oplysningerne fra Center for Frivillig Registrering bliver distribueret via kendte systemer ejet af kreditoplysningsbureauer, vil der i overensstemmelse med reglerne omkring servicebureauer som databehandler blive oprettet behørige aftaler.
3. Datatilsynet skal – efter at sagen har været behandlet på et møde i Datarådet – afgive følgende vejledende udtalelse:
3.1. Relevante regler i persondataloven
3.1.1. Persondatalovens1 kapitel 6 indeholder en række særregler for kreditoplysningsbureauer. Reglerne i kapitel 6 gælder kun for behandling af oplysninger til bedømmelse af økonomisk soliditet og kreditværdighed med henblik på videregivelse, jf. herved persondatalovens § 19.
I det omfang behandling af oplysninger ikke er reguleret af persondatalovens kapitel 6, gælder de almindelige behandlingsregler i lovens kapitel 4.
3.1.2. Når behandlingen af oplysningerne sker med henblik på at advare andre mod forretningsforbindelser med eller ansættelsesforhold til en registreret (et såkaldt ”advarselsregister”), skal Datatilsynets tilladelse indhentes forinden iværksættelse af behandlingen. Det fremgår af persondatalovens § 50, stk. 1, nr. 2.
Datatilsynet skal i hvert enkelt tilfælde afgøre, om oprettelse af et advarselsregister tjener anerkendelsesværdige interesser og navnlig vurdere registrets formål i forhold til den risiko for krænkelse af privatlivets fred, som oprettelse og brug af registret kan medføre. 2
Ved vurderingen af, om en behandling kan anses for at være et advarselsregister, skal der lægges vægt på, om registret er oprettet med henblik på videregivelse, og om videregivelsen sker med henblik på at advare mod forretningsforbindelse/samarbejde med de registrerede.
Den typiske behandling i form af et advarselsregister er et register, der er oprettet af en forening eller en brancheorganisation med henblik på at videregive oplysninger til foreningens eller brancheorganisationens medlemmer om medlemmernes forretningsforbindelser og disses betalingsevne. 3
Ud over at advarselsregistret skal tjene anerkendelsesværdige interesser, skal de almindelige behandlingsregler i persondatalovens §§ 6-8 være opfyldt.
Herudover skal grundbetingelserne i persondatalovens § 5 iagttages.
Oplysninger skal behandles i overensstemmelse med god databehandlingsskik, jf. § 5, stk. 1. Indsamling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, jf. § 5, stk. 2, og senere behandling må ikke være uforenelig med disse formål. Oplysninger, som behandles, skal herudover være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles, jf. § 5, stk. 3.
3.2. Er der tale om et advarselsregister?
Efter Datatilsynets opfattelse udgør den påtænkte registrering og videregivelse af oplysninger om frivillig registrering samt årsag hertil ikke et advarselsregister efter persondatalovens § 50, stk. 1, nr. 2.
Datatilsynet har herved lagt vægt på, at der er tale om frivillige registreringer, at en registrering hos Center for Frivillig Registrering ikke nødvendigvis er udtryk for, at den registrerede er ”dårlig betaler”, samt at det må antages at være i de registreredes interesse, at de pågældende oplysninger videregives til potentielle kreditorer.
3.3. Registrering og videregivelse af oplysninger
3.3.1. Oplysningernes karakter
Det er oplyst, at personer skal kunne blive registreret i Center for Frivillig Registrering, hvis 1) de af den ene eller anden grund ønsker at gøre kreditgivere opmærksomme på, at disse ikke umiddelbart skal sige ja til at give vedkommende kredit, eller 2) de har mistet et identitetspapir og i den forbindelse frygter, at det vil blive misbrugt.
Det er videre oplyst, at årsagen til, at en person har ønsket at blive registreret hos Center for Frivillig Registrering, som udgangspunkt ikke bliver oplyst. Potentielle kreditorer kan dog rette henvendelse til HOSS ApS for eventuelle yderligere oplysninger, som efter aftale med den registrerede kan videregives i den forbindelse. I denne forbindelse vil årsagen til registreringen som udgangspunkt alene vil blive oplyst, såfremt årsagen er mistede identitetspapirer.
Datatilsynet lægger derfor til grund, at der vil blive registreret og videregivet oplysninger om, at en person har ønsket at blive registreret hos Center for Frivillig Registrering, samt at der vil blive registreret og – i visse tilfælde – videregivet oplysninger om årsag til registreringen.
Selve oplysningen om, at en person har ønsket en frivillig registrering hos Center for Frivillig Registrering, er efter Datatilsynets opfattelse en almindelig personoplysning omfattet af persondatalovens § 6.
Ligeledes må oplysninger om, at årsagen til en frivillig registrering er mistede identitetspapirer og frygt for misbrug heraf, efter Datatilsynets opfattelse betragtes som almindelige personoplysninger omfattet af persondatalovens § 6.
Det må derimod antages, at oplysninger om, hvad årsagen til en frivillig registrering i andre tilfælde er, vil kunne udgøre følsomme oplysninger omfattet af persondatalovens §§ 7 og 8. 4
3.3.2. Registrering og videregivelse af oplysninger om frivillig registrering Behandling af oplysninger kan bl.a. ske, når den registrerede har givet sit udtrykkelige samtykke hertil, jf. persondatalovens § 6, stk. 1, nr. 1.
Ved den registreredes samtykke forstås efter persondataloven ”enhver frivillig, specifik og informeret viljestilkendegivelse, hvorved den registrerede indvilger i, at oplysninger, der vedrører den pågældende selv, gøres til genstand for behandling”, jf. § 3, nr. 8.
Det er oplyst, at optagelsen i Center for Frivillig Registrering udelukkende vil ske med et udtrykkeligt og specifikt samtykke afgivet af personen selv og med den tilstrækkelige sikkerhed for, at det er en frivillig viljestilkendegivelse.
Datatilsynet finder herefter, at såvel registrering som videregivelse af oplysninger om frivillig registrering hos Center for Frivillig Registrering kan finde sted med hjemmel i persondatalovens § 6, stk. 1, nr. 1.
Datatilsynet forudsætter herved, at det afgivne samtykke opfylder persondatalovens krav, herunder at det er frivilligt, jf. kravet i § 3, nr. 8.
3.3.3. Registrering og videregivelse af oplysninger om årsag Som det fremgår ovenfor, er der to kategorier af årsager til frivillig registrering; dels på grund af mistede identitetspapirer og frygt for misbrug, dels et ønske om at gøre kreditgivere opmærksomme på, at disse ikke umiddelbart skal sige ja til at give vedkommende kredit. For sidstnævntes vedkommende kan ønsket om frivillig registrering være begrundet i årsager af rent privat karakter.
Behandling af oplysninger om årsag til frivillig registrering – dvs. registrering og videregivelse – vil som udgangspunkt kunne finde sted på baggrund af et udtrykkeligt samtykke, der opfylder persondatalovens krav, jf. persondatalovens § 6, stk. 1, nr. 1, § 7, stk. 2, nr. 1, og § 8, stk. 4, 1.pkt., og stk. 5, 1. pkt.
Dette forudsætter dog, at grundbetingelserne i persondatalovens § 5 iagttages.
3.3.3.1. Oplysninger om mistede identitetspapirer og frygt for misbrug heraf Det er Datatilsynets vurdering, at oplysninger om, at en frivillig registrering skyldes mistede identitetspapirer og frygt for misbrug heraf, vil kunne registreres og videregives på baggrund af et udtrykkeligt samtykke, jf. persondatalovens § 6, stk. 1, nr. 1. Datatilsynet forudsætter herved, at samtykket opfylder persondatalovens krav, jf. herved definitionen i § 3, nr. 8.
3.3.3.2. Oplysninger om andre årsager Det er Datatilsynets vurdering, at oplysninger om øvrige årsager til frivillige registreringer ikke vil kunne registreres og videregives på baggrund af et udtrykkeligt samtykke. Datatilsynet skal herved henvise til de grundlæggende krav i persondatalovens § 5, stk. 1-3, om god databehandlingsskik, saglighed og proportionalitet.
Det er således Datatilsynets vurdering, at det ikke i de tilfælde, hvor årsagen til en frivillig registrering skyldes andre forhold end mistede identitetspapirer, kan anses for nødvendigt for at opfylde formålet med behandlingen af oplysninger hos Center for Frivillig Registrering at registrere og videregive oplysninger om årsag. Datatilsynet har herved lagt vægt på, at oplysninger om årsag i disse tilfælde må antages ofte at omfatte følsomme oplysninger omfattet af persondatalovens §§ 7 og 8.
Datatilsynet skal på den baggrund foreslå, at HOSS ApS alene registrerer og videregiver oplysninger om, at en frivillig registrering skyldes enten 1) mistede identitetspapirer og frygt for misbrug heraf, eller 2) ”andre personlige årsager”. Herved undgås det efter tilsynets opfattelse, at der registreres og videregives følsomme oplysninger, jf. persondatalovens §§ 7 og 8, i tilfælde, hvor dette ikke kan anses for nødvendigt.
3.3.4. Særligt om tilbagekaldelse af samtykke Datatilsynet skal gøre opmærksom på, at den registrerede kan tilbagekalde et samtykke, jf. persondatalovens § 38. Virkningen heraf vil i givet fald være, at den behandling af oplysninger, som den registrerede tidligere har meddelt sit samtykke til, ikke længere må finde sted.
Datatilsynet skal påpege, at HOSS ApS bør sikre sig, at frivillige registreringer på grund af mistede identitetspapirer og frygt for misbrug heraf ikke tilbagekaldes af de personer, som er i besiddelse af de mistede identitetspapirer.
Hvis et samtykke kan tilbagekaldes elektronisk, bør HOSS ApS således i fornødent omfang, f.eks. ved brug af digital signatur eller anden to faktorløsning, sikre sig, at det reelt er den registrerede, som tilbagekalder samtykket.
3.4. Anvendelse af Experian A/S’ som databehandler
Det er oplyst, at oplysningerne ønskes gjort tilgængelige via Experian A/S’ systemer, men på en sådan måde, at man kan se, at der er tale om registrering hos Center for Frivillig Registrering.
Det er Datatilsynets umiddelbare vurdering, at HOSS ApS inden for rammerne af persondataloven vil kunne benytte Experian A/S til at videregive oplysninger til brugere af løsningen.
Dette forudsætter dog efter tilsynets opfattelse, at det af søgeresultatet klart og tydeligt fremgår, at der er tale om oplysninger fra Center for Frivillig Registrering, således at personer, der alene er registreret hos Center for Frivillig Registrering (og ikke i RKI-registret), ikke fremstår som dårlige betalere, at det af søgeresultatet fremgår, at HOSS ApS er dataansvarlig for registreringen og videregivelsen, samt at Experian A/S holder aktiviteterne i relation til Center for Frivillig Registrering adskilt fra kreditoplysningsbureauets aktiviteter.
Herudover må det efter Datatilsynets opfattelse forudsætte, at opslag i Center for Frivillig Registrering ikke automatisk medfører opslag i RKI-registret, samt at opslag i RKI-registret ikke automatisk medfører opslag hos Center for Frivillig Registrering. Brugere, der alene abonnerer på oplysninger hos Center for Frivillig Registrering, eller som alene har behov for at foretage opslag hos Center for Frivillig Registrering, må således ikke samtidig få oplysninger fra RKI-registret. Ligeledes må brugere, der alene abonnerer på oplysninger fra RKI-registret, eller som alene har behov for at foretage opslag i RKI-registret, ikke samtidig få oplysninger fra Center for Frivillig Registrering.
Det må således efter Datatilsynets opfattelse være en klar forudsætning, at Center for Frivillig Registrering har sine egne abonnenter/brugere og indgår aftaler med disse om vilkår for brug af løsningen. Hvis der blot sker videregivelse til samtlige abonnenter hos Experian A/S, kan det efter Datatilsynets opfattelse give indtryk af, at Experian A/S reelt er dataansvarlig for videregivelsen. En sådan konstruktion kan efter omstændighederne have karakter af en omgåelse af de særlige regler om kreditoplysningsbureauer i persondatalovens kapitel 6.
1 Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændringer
2 jf. betænkning nr. 1345/1997 fra udvalget om registerlovgivningen, s. 118-119, om gældende ret vedrørende advarselsregistre.
3 Jf. Lov om behandling af personoplysninger med kommentarer (Henrik Waaben og Kristian Korfits Nielsen, 2. udgave, 2008), s. 476
4 Dette vil f.eks. være tilfældet, hvis det oplyses, at årsagen til en frivillig registrering er ludomani