prop · GK0365 · 1997-01-01 00:00:00 — Företag som avses i 3 § andra stycket 1, 2, 4 eller 5 och som vid lagens ikraftträdande bedriver kreditupplysningsverksamhet får fortsätta med verksamheten, om företaget från lagens ikraftträdande anmäler till Datainspektionen att det avser att fortsätta att bedriva verksamheten. Bestämmelsen i 6 § andra stycket andra meningen gäller även i fråga om uppgifter om att någon har varit föremål för åtgärder enligt lagen (1967:940) angående omsorger om vissa psykiskt utvecklingsstörda eller lagen (1985:568) om särskilda omsorger om psykiskt utvecklingsstörda m.fl. **FOOTNOTES** 1 Jfr och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 395L0046). 2 Lagen omtryckt 1981:737. 3 Senaste lydelse 1992:1616. 4 Senaste lydelse 1992:1616. 5 Senaste lydelse 1992:1110. 6 Senaste lydelse 1991:1959. 7 Senaste lydelse 1994:340. 8 Senaste lydelse 1981:737. 9 Senaste lydelse 1991:1563. 10 Senaste lydelse 1981:737. 11 Senaste lydelse 1992:1110. 12 Senaste lydelse 1981:737. 13 Senaste lydelse 1981:737. 2.2 Förslag till lag om ändring i bankrörelselagen (1987:617) Härmed föreskrivs att 1 kap. 10 § bankrörelselagen (1987:617) skall ha följande lydelse. -------------------------------------------------------------------- Nuvarande lydelse Föreslagen lydelse 1 kap. 10 §1Enskildas förhållanden till bank får inte obehörigen röjas. I det allmännas verksamhet tillämpas i stället bestämmelserna i sekretesslagen (1980:100). Ansvar enligt 20 kap. 3 § skall inte följa för den som bryter mot förbudet i första stycket. Detsamma gäller en revisor som bryter mot förbudet i 3 kap. 14 § första stycket att lämna upplysningar om en banks angelägenheter. -------------------------------------------------------------------- I 5 a § kreditupplysningslagen (1973:1173) finns bestämmelser som innebär att vad som gäller om tystnadsplikt enligt första stycket inte hindrar att uppgifter i vissa fall utväxlas för kreditupplysningsändamål. Denna lag träder i kraft . **FOOTNOTES** 1 Senaste lydelse 1992:1613. 2.3 Förslag till lag om ändring i lagen (1992:1610) om kreditmarknadsbolag Härmed föreskrivs att 1 kap. 5 § lagen (1992:1610) om kreditmarknadsbolag samt rubriken närmast före paragrafen skall ha följande lydelse. -------------------------------------------------------------------- Nuvarande lydelse Föreslagen lydelse 1 kap. -------------------------------------------------------------------- Sekretess Tystnadsplikt 5 §Enskildas förhållanden till kreditmarknadsbolag får inte obehörigen röjas. I det allmännas verksamhet tillämpas i stället bestämmelserna i sekretesslagen (1980:100). Ansvar enligt 20 kap. 3 § skall inte följa för den som bryter mot förbudet i första stycket. -------------------------------------------------------------------- I 5 a § kreditupplysningslagen (1973:1173) finns bestämmelser som innebär att vad som gäller om tystnadsplikt enligt första stycket inte hindrar att uppgifter i vissa fall utväxlas för kreditupplysningsändamål. Denna lag träder i kraft . 2.4 Förslag till lag om ändring i lagen (1991:981) om värdepappersrörelse Härmed föreskrivs att 1 kap. 8 § lagen (1991:981) om värdepappersrörelse samt rubriken närmast paragrafen skall ha följande lydelse. -------------------------------------------------------------------- Nuvarande lydelse Föreslagen lydelse 1 kap. -------------------------------------------------------------------- Sekretess Tystnadsplikt 8 §1En styrelseledamot eller befattningshavare hos ett värdepappersbolag, vilken i den egenskapen får kunskap om en uppdragsgivares affärsförhållanden eller personliga förhållanden, får inte obehörigen röja vad han har fått veta och inte heller utnyttja kunskapen i strid med uppdragsgivarens intresse. -------------------------------------------------------------------- I 5 a § kreditupplysningslagen (1973:1173) finns bestämmelser som innebär att vad som gäller om tystnadsplikt enligt första stycket inte hindrar att uppgifter i vissa fall utväxlas för kreditupplysningsändamål. Denna lag träder i kraft . **FOOTNOTES** 1 Senaste lydelse 1994:2015. 3 Ärendet och dess beredning Kreditupplysningslagen (1973:1173) innehåller regler för den yrkesmässigt bedrivna kreditupplysningsverksamheten. Lagen syftar i första hand till att undanröja riskerna för att kreditupplysning skall medföra otillbörligt intrång i de kreditsökandes personliga integritet eller leda till skada genom oriktiga eller missvisande uppgifter. är lagen avsedd att bidra till en effektivt fungerande kreditupplysningsverksamhet. Lagen trädde i kraft . Efter en översyn i genomfördes vissa ändringar 1981, särskilt i fråga om enskilda personers integritetsskydd. Även därefter har vissa mindre ändringar genomförts. tillkallades justitierådet att som särskild utredare se över kreditupplysningslagen. Huvuduppgifterna för utredaren, som arbetade under namnet (Ju 1991:06), var enligt direktiven att undersöka hur intresset av en effektiv kreditupplysning kan främjas utan att kravet på personlig integritet och sekretess träds för när, hur den svenska lagstiftningen skall anpassas till och därutöver i vilken utsträckning utländska företag bör ges möjlighet att bedriva kreditupplysningsverksamhet i samt i vilken utsträckning utvecklingen i fråga om data- och informationsteknik påkallar ändringar i kreditupplysningslagen. Enligt tilläggsdirektiv skulle utredningen vidare överväga om kreditupplysningslagen bör ändras så att också näringsidkare m.fl. ges rätt till en s.k. beställaruppgift, dvs. en uppgift om vem som har begärt en kreditupplysning. Utredningen påbörjade sitt arbete . Den första etappen av arbetet var inriktad på att åstadkomma en anpassning av kreditupplysningslagens regler till . redovisade utredningen denna del av arbetet i delbetänkandet EES-anpassning av kreditupplysningslagen (SOU 1992:22). Förslaget ledde till ändringar i 1, 3, 4 och 17 §§ kreditupplysningslagen samt till införandet av 17 a §. Utredningen lämnade slutbetänkandet Integritet och effektivitet på kreditupplysningsområdet (SOU 1993:110). Betänkandet har remissbehandlats. Sedan överlämnade sitt slutbetänkande har det s.k. dataskyddsdirektivet antagits, dvs. och rådets direktiv om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (95/46/EG). Det är bindande för medlemsstaterna i fråga om det resultat som skall uppnås men staterna får själva avgöra i vilken form och med vilka medel som resultatet skall nås. Direktivet skall vara genomfört i svensk rätt senast efter att det antagits, dvs. I avsnitt 4.3 redogörs något närmare för direktivet. Regeringen har uppdragit åt en parlamentariskt sammansatt kommitté att analysera på vilket sätt dataskyddsdirektivet skall införlivas med svensk lag. Kommittén, som antagit namnet (Ju 1995:08), skall också lägga fram förslag till en ny lag på området. Kommitténs arbete skall vara slutfört . Med hänsyn till arbete lämnas frågor som behandlas i dataskyddsdirektivet eller som berörs av arbetet med en ny lag på dataområdet utanför detta lagstiftningsärende, med undantag för vissa enkla anpassningar till direktivet som föreslås i avsnitt 7. Det innebär att vissa av förslag inte behandlas . Det gäller exempelvis frågan om uppgifter skall få samlas in och lagras i kreditupplysningsverksamhet utan att den berörda personen lämnat sitt samtycke. Andra förslag av utredningen saknar samband med dataskyddsdirektivet. Det är dessa förslag - tillsammans med nämnda enkla anpassningar till direktivet - som tas upp i denna proposition. Företrädare för bl.a. kreditupplysningsföretagen har framfört synpunkter på vilka uppgifter som skall få användas i kreditupplysningar om näringsidkare. Regeringen avser att överväga den frågan vidare i det fortsatta lagstiftningsarbetet. Till propositionen fogas dels en sammanfattning av betänkandet som bilaga 1, dels betänkandets lagförslag som bilaga 2, dels en förteckning över remissinstanserna som bilaga 3. En sammanställning av remissyttrandena finns tillgänglig i lagstiftningsärendet (Ju93/4910). Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 4. Lagrådets yttrande finns i bilaga 5. Lagrådet har godtagit förslagen men föreslagit vissa mindre justeringar. Regeringen har delvis följt Lagrådets förslag men i andra delar avstått från att följa Lagrådets rekommendationer. Regeringen återkommer i avsnitten 5.2.2, 6.4 och 8.2 samt i författningskommentaren till 4, 5 a och 7 §§ till Lagrådets synpunkter. I förhållande till lagrådsremissens förslag har dessutom vissa redaktionella ändringar gjorts. 4 Regleringen av kreditupplysningsmarknaden, m.m. Kreditupplysningslagen gäller i första hand sådan kreditupplysningsverksamhet som innebär att någon lämnar kreditupplysningar mer än i enstaka fall mot ersättning eller som ett led i näringsverksamhet. Även annan kreditupplysnings- verksamhet omfattas av lagen, om verksamheten är av större omfattning (1 §). Med kreditupplysning avses i lagen uppgift, omdöme eller råd, som lämnas till ledning för bedömning av annans kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende (2 §). Från lagens tillämpningsområde är viss kreditupplysningsverksamhet undantagen. Det gäller förmedling av kreditupplysningar mellan företag inom samma koncern samt inom den s.k. frikretsen. Denna krets utgörs av Riksbank och sådana kreditinrättningar eller för kreditupplysningsverksamhet inrättade företag som står under tillsyn och inte är kreditmarknadsbolag (1 § andra och tredje styckena). Den kreditupplysningsverksamhet som omfattas av lagen får bedrivas endast efter tillstånd från Datainspektionen (3 §). Tillstånd får meddelas om det kan antas att verksamheten kommer att bedrivas på ett sakkunnigt och omdömesgillt sätt. Datainspektionen har möjlighet att förena ett tillstånd med föreskrifter om hur verksamheten skall bedrivas och om skyldighet att anmäla ändrade förhållanden av betydelse för tillståndet (4 §). För verksamhet som bedrivs genom offentliggörande av kreditupplysningar på sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen krävs inte tillstånd. Hit hör publicering av kreditupplysningar i tidskrifter men också offentliggörande av kreditupplysningar i radio eller liknande medier (3 § tredje stycket). Tillstånd behövs inte heller för banker eller andra kreditinstitut från EES- länderna, förutsatt att de enligt sin hemlandsauktorisation har rätt att bedriva kreditupplysningsverksamhet (3 § andra stycket). Regler för hur kreditupplysningsverksamhet skall bedrivas finns i 5-14 §§. Detta avsnitt i lagen inleds med den grundläggande bestämmelsen att kreditup- plysningsverksamhet skall bedrivas på ett sådant sätt att den inte leder till otillbörligt intrång i personlig integritet genom innehållet i de uppgifter som förmedlas eller på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. Uppgift om någons politiska eller religiösa uppfattning, ras eller hudfärg får inte insamlas, lagras eller vidarebefordras i kreditupplysningsverksamhet. Vissa andra uppgifter av särskilt ömtålig natur får förekomma i kreditupplysningssammanhang endast om Datainspektionen medgett det. Datainspektionen kan sålunda, om synnerliga skäl föreligger, medge att uppgifter om brott, sjukdomar, hälsotillstånd och liknande insamlas, lagras och vidarebefordras i kreditupplysningsverksamhet (6 §). Lagen skiljer mellan begreppen kreditupplysning och personupplysning (2 §). Kreditupplysningar kan avse såväl fysiska som juridiska personer. Med perso- nupplysning avses en kreditupplysning om en enskild person som varken är nä- ringsidkare eller annars har ett så väsentligt inflytande i någon viss näringsverksamhet att en uppgift om personens egna förhållanden behövs för att belysa verksamhetens ekonomiska ställning. Om personupplysningar finns särskilda bestämmelser i olika avseenden. Personupplysningar får inte innehålla någon uppgift om andra betalningsför- summelser än sådana som slagits fast av domstol eller någon annan myndighet eller som har lett till inledande av skuldsanering, betalningsinställelse, konkursansökan eller ackord (7 §). Om särskilda skäl föreligger får regeringen eller, efter regeringens bestämmande, Datainspektionen föreskriva undantag från denna regel. Uppgifter om betalningsförsummelser måste gallras . Personupplysningar får nämligen inte grundas på omständigheter eller för- hållanden av betydelse för bedömningen av en persons vederhäftighet i ekonomiskt hänseende, förflutit från utgången av det år då omständigheten inträffade eller förhållandet upphörde (8 §). Personupplysningar får lämnas ut endast till den som på grund av ingånget eller ifrågasatt kreditavtal eller av liknande anledning har behov av upplysningen (9 §). När en personupplysning lämnas skall den omfrågade personen kostnadsfritt få ett skriftligt meddelande om innehållet i den upplysning som lämnats om honom, en s.k. personupplysnings- kopia. Detta meddelande skall innehålla även eventuella omdömen och råd som getts i personupplysningen. Den omfrågade personen skall också få reda på vem som har begärt upplysningen, en s.k. beställaruppgift (11 § första stycket). En enskild person som är näringsidkare eller näringsanknuten har en motsvarande rätt att kostnadsfritt erhålla ett meddelande om vilka faktiska uppgifter som lämnats om honom. Han har däremot inte rätt att få veta innehållet i eventuella omdömen eller råd som lämnats eller vem som begärt uppgifterna (11 § andra stycket). Lagen innehåller också regler om rättelse då oriktiga eller missvisande uppgifter lämnats i kreditupplysningsverksamhet (12 §) och om bl.a. överlåtelse eller upplåtelse av register som används i sådan verksamhet (13 §). Vidare finns regler om tystnadsplikt för den som är eller har varit verksam i kreditupp- lysningsverksamhet (14 §). Datainspektionen utövar tillsyn över den kreditupplysningsverksamhet som omfattas av lagen (15 §). Detta kan ske genom inspektion eller på annat sätt. Den som bedriver kreditupplysningsverksamhet är skyldig att lämna Datainspektionen de uppgifter om verksamheten som inspektionen begär för sin tillsyn (16 § första och andra styckena). I de fall då kreditupplysningsverksamhet bedrivs genom sådant offentliggörande som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen skall den som bedriver verksamheten inom se till att Datainspektionen kost- nadsfritt får del av det som offentliggjorts (16 § tredje stycket). Om den som har Datainspektionens tillstånd att bedriva kreditupplysnings- verksamhet åsidosätter någon bestämmelse i lagen eller i ett meddelat tillstånd, får inspektionen ändra tidigare meddelade föreskrifter eller meddela en ny föreskrift. Kan rättelse inte åstadkommas på annat sätt, får Datainspektionen återkalla tillståndet (17 §). När det gäller bankföretag och andra kreditinstitut från EES-länderna, som bedriver kreditupplysningsverksamhet i med stöd av sin hemlands- auktorisation, ligger huvudansvaret för tillsynen över deras verksamhet här i landet på den behöriga myndigheten i hemlandet. Datainspektionen har dock vissa möjligheter att ingripa mot dessa företag. Inspektionen får förelägga ett sådant företag att vidta rättelse om företaget har överträtt kreditupplysningslagen eller meddelade föreskrifter. Om företaget inte följer föreläggandet, skall Datainspektionen underrätta den behöriga myndigheten i företagets hemland. Om rättelse ändå inte sker, får Datainspektionen förbjuda företaget att göra nya åtaganden här i landet (17 a §). Om ett kreditupplysningsföretag underlåter att ge en omfrågad person in- formation i samband med en kreditupplysning eller att rätta oriktiga eller missvisande uppgifter, kan Datainspektionen förelägga företaget vid vite att fullgöra sina åligganden. Vitesföreläggande kan också användas av Datainspektionen i syfte att få tillgång till handlingar eller uppgifter i samband med tillsynsverksamheten (22 §). Lagen innehåller även regler om straff (19 §), förverkande av register (20 §) och skadestånd (21 §). Enligt lagens avslutande paragraf får Datainspektionens beslut överklagas hos allmän förvaltningsdomstol (23 §). överklagades besluten till regeringen. Om uppgifter om enskilda personer i kreditupplysningsverksamhet hanteras med hjälp av automatisk databehandling (ADB), gäller reglerna i datalagen (1973:289). Lagen gäller däremot inte för registrering som sker manuellt. Lagen gäller inte heller för registrering avseende juridiska personer, oavsett om registret förs med hjälp av ADB eller ej. Datalagens bestämmelser avser personregister. Med termen avses register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften . Personuppgift definieras i sin tur som "upplysning som avser enskild person" (1 §). Personregister får inrättas och föras endast av den som har anmält sig till Datainspektionen och fått bevis om detta, s.k. licens (2 §). För vissa typer av register, som bedöms innebära särskilda risker för otillbörligt intrång i enskildas personliga integritet, krävs utöver licens även ett särskilt tillstånd från Datainspektionen. Så är fallet om de registrerade inte har någon naturlig anknytning till den som för registret samt vid s.k. samkörning av register. Detsamma gäller då registret innehåller omdömen eller andra värderande upplysningar om den registrerade eller känsliga uppgifter om t.ex. brott, hälsotillstånd eller religiös tillhörighet. Den som i kreditupplysningsverksamhet med hjälp av ADB vill föra ett register över enskilda personer måste i enlighet med det sagda ha både licens och ett särskilt tillstånd, eftersom ett kreditupplysningsregister normalt innehåller uppgifter om personer som inte har någon naturlig anknytning till kreditupplysningsföretaget. Härtill kommer förstås kravet på tillstånd att driva kreditupplysningsverksamhet. Om det behövs för att förebygga risk för otillbörligt intrång i personlig integritet, kan Datainspektionen meddela särskilda villkor i samband med tillståndsgivningen. För varje personregister skall det finnas någon som är registeransvarig. Härmed förstås enligt datalagen den för vars verksamhet ett personregister förs, om han förfogar över registret. När det gäller kreditupplysningsverksamhet är den registeransvarige vanligtvis ett företag eller en organisation. Datainspektionen utövar tillsyn över att automatisk databehandling inte medför otillbörligt intrång i personlig integritet (15 §). Finner Datainspektionen att otillbörligt intrång förekommit, kan inspektionen meddela villkor eller, om rättelse inte kan åstadkommas på annat sätt, förbjuda fortsatt förande av personregistret (18 §). Detsamma gäller om det kan antas att otillbörligt intrång skall uppkomma. Datalagen innehåller också bestämmelser om straff (20 och 21 §§), förverkande av register (22 §) och skadestånd (23 §). Datainspektionens beslut får överklagas hos allmän förvaltningsdomstol (25 §). Datalagen har sedan den infördes setts över i olika etapper. Den senaste utredningen på området, (Ju 1989:02), lade fram sitt slutbetänkande En ny datalag (SOU 1993:10) . Regeringen gjorde i prop. 1993/94:116 Normgivningsfrågor på dataskyddsområdet, m.m. den bedömningen att utarbetandet av en ny datalag borde anstå till dess det fanns ett slutligt ställningstagande av EU:s medlemsländer till det då framlagda direktivförslaget om skydd för personuppgifter (se följande avsnitt). och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L281, 23.11.1995, s. 31, Celex 395L0046) antogs alltså . Direktivet ålägger medlemsstaterna att genom lagstiftning eller på annat sätt ge föreskrifter av det innehåll som framgår av direktivet. Direktivet gäller enligt artikel 3 som huvudregel för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. Personuppgifter definieras i artikel 2 som varje upplysning som avser en identifierad eller identifierbar fysisk person. Av artikel 6 framgår bl.a. att personuppgifter får samlas in endast för särskilda uttryckligt angivna och berättigade ändamål. Vidare anges i artikel 7 att personuppgifter får behandlas endast under någon av de i artikeln angivna förutsättningarna. Sålunda anges att behandling får ske om den enskilde har lämnat sitt samtycke, om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige eller om behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade. Vidare anges, som ett ytterligare alternativ, att behandling får ske om den är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller om den är ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgifterna har lämnats ut. Slutligen får behandling ske för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, dock inte när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter. Artikel 8 innehåller bestämmelser om begränsningar av möjligheterna att behandla känsliga personuppgifter. Som känsliga anses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. Direktivet innehåller också bl.a. bestämmelser om den registeransvariges informationsskyldighet, om den enskildes rätt till insyn och rättelse samt om datasäkerhet och gallring. har till uppgift att analysera på vilket sätt direktivet skall genomföras i svensk rätt samt lägga fram förslag till en ny lag på området. Kommitténs uppdrag skall vara slutfört . Det finns omkring 40 företag som har Datainspektionens tillstånd att bedriva kreditupplysningsverksamhet. Den svenska kreditupplysnings- marknaden domineras dock av två stora företag, (Upplysningscentralen) och (Soliditet). Båda företagen har kontor i , och och bedriver verksamhet över hela landet. De sysslar med alla typer av kreditupplysningstjänster. Upplysningscentralen ägs av bankerna och står enligt instruktionen för Finansin- spektionen under dess tillsyn. Upplysningscentralens bolagsordning har godkänts av regeringen och får enligt lydelsen inte ändras utan regeringens tillstånd. Företaget tillkom som ett samordningsorgan för bankernas interna kreditupplysningsverksamhet. Genom en lagändring inkluderades företaget i frikretsen (se avsnitt 5.1), vilket innebär att den bankinterna delen av Upplysningscentralens verksamhet faller utanför kreditupplysningslagen. Företaget bedriver emellertid också extern kreditupplysningsverksamhet. För denna del av verksamheten gäller kreditupplysningslagens regler. Soliditet tillhör inte frikretsen. Kreditupplysningslagens regler gäller således för företagets hela kreditupplysningsverksamhet. Störst av övriga kreditupplysningsföretag är AB . Bolaget är lokaliserat till men bedriver verksamhet över hela landet. Företaget har en viss specialinriktning på kreditupplysningspublikationer. Även vissa andra av de företag som har tillstånd att bedriva kreditupplysningsverksamhet har en starkt specialinriktad verksamhet. Det finns t.ex. företag som tillhandahåller upplysningar om redare och fartygsägare till ledning för dem som bedriver verksamhet som skeppsklarerare. lämnar kreditupplysningar till sina medlemmar angående tilltänkta arbetsgivare. -------------------------------------------------------------------- | Regeringens förslag: Systemet med en s.k. frikrets avskaffas.