prop · GO0350 · 2001-01-01 00:00:00 — 5.7 Rättelse Regeringens förslag: Bestämmelserna om rättelse av uppgifter skall omfatta inte endast felaktiga och missvisande uppgifter utan även uppgifter som annars har behandlats i strid med lagen. Promemorians bedömning: De nuvarande bestämmelserna uppfyller direktivets krav (se promemorian s. 44). Remissinstanserna: Hovrätten över och föreslår att bestämmelserna om rättelse formuleras i enlighet med motsvarande bestämmelser i personuppgiftslagen. I övrigt instämmer remissinstan- serna i promemorians bedömning eller lämnar den utan någon invändning. Skälen för regeringens förslag: Enligt direktivet skall en registrerad ha rätt att få sådana uppgifter som inte behandlats på riktigt sätt rättade, utplånade eller blockerade, särskilt om dessa är felaktiga eller ofullständiga (artikel 12 b). Om uppgifterna har lämnats ut till någon, skall den registeransvarige underrätta denne om åtgärden, under förutsättning att en underrättelse inte är omöjlig eller innebär oproportionerligt stor ansträngning (artikel 12 c). Bestämmelserna har genomförts i 28 § personuppgiftslagen. Frågan om rättelse av uppgifter i kreditupplysningsverksamhet regleras i 12 § kreditupplysningslagen. Bestämmelserna innebär dels en undersöknings- och korrigeringsskyldighet, dels en underrättelseskyldighet för den som driver kreditupplysningsverksamhet. Bestämmelser om rättelse är så viktiga för kreditupplysningsverk- samhet att de även i fortsättningen bör finnas i kreditupplysningslagen. Bestämmelserna i 12 § kreditupplysningslagen uppfyller i stort sett direktivets krav men bör i ett avseende anpassas till direktivet och personuppgiftslagen. Som Hovrätten över och påpekar täcker 12 § rättelse av felaktiga uppgifter men inte själva behandlingen av uppgifterna. Bestämmelserna i 12 § reglerar sålunda inte frågan hur en registrerad skall få en uppgift utplånad som i och för sig är korrekt men som ändå inte får behandlas enligt kreditupplysningslagen, t.ex. en uppgift om hälsa, medlemskap i fackförening eller någon annan uppgift som över huvud taget inte får behandlas (jfr avsnitt 4.4). Bestämmelserna bör därför ändras så att de omfattar inte bara oriktiga och missvisande uppgifter utan i likhet med 28 § personuppgiftslagen även gäller uppgifter som annars har behandlats i strid med lagen, t.ex. en känslig uppgift som har lagrats trots att det inte är tillåtet. 6 Flödesinformation Regeringens bedömning: Det finns inte skäl att ändra kreditupplys- ningslagen för att möjliggöra en ökad användning av uppgifter om näringsidkare. Datainspektionens bedömning överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanser instämmer i Data- inspektionens bedömning eller lämnar den utan någon invändning. , , och anser att s.k. flödesuppgifter alltid skall få ingå i kreditupplysningar. Skälen för regeringens bedömning: Enligt de allmänna kraven på kreditupplysningsverksamhet i 5 § kreditupplysningslagen skall verk- samheten bedrivas så att den inte leder till otillbörligt intrång i personlig integritet genom innehållet i de upplysningar som förmedlas eller på annat sätt eller till att oriktiga uppgifter lagras eller lämnas ut. I propositionen föreslås vidare att personuppgiftslagens grundläggande krav på behandling av personuppgifter skall gälla i kreditupplysnings- verksamhet (se avsnitt 4.2). Bestämmelserna är tillämpliga även på uppgifter om fysiska personer som är näringsidkare. I olika sammanhang har kritik framförts mot att Datainspektionen vid tillämpning av 5 § kreditupplysningslagen i flera fall inte tillåtit använd- ning av uppgifter om vidtagna inkassoåtgärder eller uppgifter ur företags kundreskontra (s.k. flödesinformation) i kreditupplysningar om närings- idkare. Kritiken kom fram även i samband med behandlingen av den senaste propositionen med förslag till ändringar i kreditupplysningslagen (prop. 1996/97:65). Vid sin behandling av propositionen anförde finansutskottet i sitt av godkända betänkande att regeringens fortsatta överväganden av frågan inte borde föregripas (se bet. 1996/97:FiU23). Med anledning av kritiken gav regeringen i uppdrag åt Datainspektionen att utreda vilka uppgifter om näringsidkare som bör få användas i kreditupplysningar. Datainspektionen skulle bedöma förutsättningarna för en ökad tillgång till uppgifter om näringsidkare i kreditupplysningar och väga behovet mot främst riskerna för att missvisande eller oriktiga uppgifter används i kreditupplysningssammanhang. De uppgifter som avsågs var huvudsakligen uppgifter om inkassoåtgärder vidtagna av företag och information ur företags kundreskontror. I sin rapport till regeringen anser Datainspektionen att det inte finns skäl till några lagändringar. Datainspektionen uttalar att information om inkassoåtgärder vidtagna av företag liksom information om leverantörs- skulder och betalningsbeteende ur företags kundreskontra visserligen kan utgöra tidiga indikationer på bristande betalningsförmåga eller betal- ningsovilja. Dessa indikationer kan enligt Datainspektionen därför vara av viss betydelse för en kreditgivare som skall bilda sig en uppfattning om en näringsidkares framtida betalningsbeteende. Datainspektionen framhåller att detta emellertid förutsätter att uppgifterna är av god kvalitet och att näringsidkaren informeras om att sådana uppgifter översänds till kreditupplysningsföretagen för att ge näringsidkaren tillfälle att rätta eventuellt felaktiga eller missvisande uppgifter. Datainspektionen påpekar vidare att den i två beslut har öppnat för möjligheterna att under vissa förutsättningar registrera sådan information som inte tillåtits. Det ena beslutet avser en statistisk sammanställning av den sammanvägda informationen från olika fakturor beträffande en juridisk person. Det andra beslutet avser registrering och utlämnande av uppgifter om gäldenärers sammanlagda skuldsaldon hos kronofogdemyndigheterna. Som skäl för att Datainspektionen inte har ansett sig kunna gå längre anförs att det finns en ovilja hos företag att lämna ut fullständiga uppgifter ur kundreskontra eftersom företagshemligheter skulle kunna avslöjas och att tystnadsplikt föreligger i inkassoverksamhet enligt 11 § inkassolagen (1974:182) beträffande enskildas personliga förhållanden och yrkes- eller affärshemligheter. Likaså framhålls att materialet inte skulle bli representativt eftersom det torde vara omöjligt att inhämta information från samtliga företag och inkassobolag. Datainspektionen anmärker också att den vid sin ärendehantering har konstaterat att informationen är missvisande samt understryker att felaktig gäldenärsidentifikation är ett mycket vanligt problem i inkassoverksamhet. Slutsatsen dras att detta problem kan vara ännu större i företagens kundreskontra. De flesta remissinstanserna, däribland kreditupplysningsföretaget , delar Datainspektionens bedömning att lagen inte bör ändras för att ge möjlighet till ökad tillgång till uppgifter om näringsidkare. Regeringen konstaterar att det är viktigt att kreditupplysningar baseras på ett så fylligt underlag som möjligt. Det måste självfallet eftersträvas att den information som lämnas är korrekt och rättvisande, men det får inom företagssektorn accepteras att kreditupplysningarna innehåller uppgifter som är behäftade med en viss osäkerhet. I kreditupplys- ningslagen har således inte ställts upp några särskilda begränsningar i möjligheten att använda uppgifter om betalningsförsummelser och kreditmissbruk beträffande näringsidkare. Exempelvis kan uppgifter om ansökningar om betalningsförelägganden användas. När det gäller just flödesinformation är det dock viktigt att hålla i minnet att informationen som regel grundar sig på ensidiga påståenden. Av Datainspektionens rapport framgår att sådan information ofta är oriktig eller missvisande, bl.a. på grund av felaktig gäldenärsidentifikation och administrativa misstag. betonar också risken för att för- hållandevis stora mängder felaktig information kommer att lämnas ut om förutsättningarna ökas för tillgång till uppgifter om näringsidkare i kreditupplysningar. Enligt organisationen blir de flesta felaktigheter i reskontror rättade först på inkassostadiet, och det påpekas att företag i regel saknar tillförlitliga rutiner för att identifiera kunderna korrekt. Även är kritiskt mot kvaliteten på flödesinformationen och anför att en stor del av anspråken i den summariska processen är tvistiga och att osäkerheten på inkasso- och reskontrastadiet är ännu större. Visserligen finns det, som påpekar, möjligheter att rätta felaktiga uppgifter i efterhand, men detta kräver ofta omfattande utredningar och tillgång till bakomliggande material, t.ex. reskontror och köpeavtal. Kraven i 5 § kreditupplysningslagen och 9 § personuppgiftslagen ger goda garantier för att uppgifter i kreditupplysningar håller en acceptabel kvalitet och grundas på ett tillräckligt stort och representativt urval. går det, vilket Datainspektionens rapport ger vid handen, att utforma system för behandling av flödesinformation som uppfyller kraven. Med hänvisning till det anförda gör regeringen bedömningen att det inte finns skäl att ändra kreditupplysningslagen för att möjliggöra ökad användning av uppgifter om näringsidkare. 7 Ikraftträdande- och övergångsbestämmelser Regeringens förslag: Lagändringarna skall träda i kraft . En klargörande övergångsbestämmelse införs. Promemorians bedömning: Några särskilda övergångsbestämmelser är inte nödvändiga (se promemorian s. 46 f.). Remissinstanserna: De flesta remissinstanser tillstyrker förslaget eller lämnar det utan någon invändning. Några remissinstanser, bl.a. Datainspektionen, menar att promemorians förslag kan kräva övergångsbestämmelser. och föreslår att ändringarna skall träda i kraft först . Skälen för regeringens förslag: De föreslagna lagändringarna bör träda i kraft . Med beaktande av den tid som kommer att gå innan kan fatta beslut i lagstiftningsärendet är en lämplig tidpunkt för ikraftträdandet. Några remissinstanser ifrågasätter om det inte behövs särskilda övergångsbestämmelser. och påpekar att det saknas anledning att göra bestämmelser som genomför dataskyddsdirektivet tillämpliga på kreditupplysningsverk- samhet tidigare än för annan verksamhet. För personuppgiftslagen gäller nämligen särskilda övergångsbestämmelser, bl.a. i fråga om sådan behandling av personuppgifter som har påbörjats före ikraftträdandet . Enligt dessa övergångsbestämmelser skall för sådan behandling inte personuppgiftslagen utan datalag tillämpas till och med . Förslaget att personuppgiftslagens grundläggande krav på behandling av personuppgifter skall gälla också i kreditupplysningsverksamhet (se avsnitt 4.2) innebär att kraven skall tillämpas bara om personuppgifts- lagen är tillämplig. Om personuppgiftslagen enligt sina övergångs- bestämmelser inte är tillämplig, skall kraven alltså inte tillämpas. Som Lagrådet har föreslagit bör en uttrycklig övergångsbestämmelse införas där detta klargörs. I detta avseende blir direktivets regler alltså inte tillämpliga tidigare på kreditupplysningsverksamhet än i enlighet med reglerna i personuppgiftslagen. Som anförs i promemorian finns det inte något behov av övergångs- reglering för den föreslagna bestämmelsen om att uppgifter om fysiska personer får samlas in endast för kreditupplysningsändamål. Detsamma gäller för bestämmelserna om att personuppgifter i kreditupplysnings- verksamhet får behandlas utan samtycke och att den enskilde inte heller kan motsätta sig en behandling. Inte heller övriga ändringar kräver några övergångsbestämmelser, utan även de bör kunna tillämpas från och med lagens ikraftträdande. Det föreslås således inte några övergångsbestäm- melser. 8 Ekonomiska konsekvenser av förslagen Regeringens förslag i detta ärende innebär ett genomförande av data- skyddsdirektivet. Förslagen i propositionen bedöms, bland myndigheter, främst påverka Datainspektionen. Eftersom det dock inte handlar om några nya uppgifter bedöms inspektionen kunna utföra uppgifter med anledning av lagändringarna inom ramen för befintliga resurser. Inte heller i övrigt torde de nya reglerna medföra några beaktansvärda kostnader för det allmänna. 9 Författningskommentar Förslaget till lag om ändring i kreditupplysningslagen 5 § Kreditupplysningsverksamhet skall bedrivas så att den inte leder till otillbörligt intrång i personlig integritet genom innehållet i de upplysningar som förmedlas eller på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. För sådan behandling av personuppgifter som omfattas av personuppgiftslagen (1998:204) gäller i stället 9 § första stycket a, b och d h den lagen. Uppgifter om fysiska personer får samlas in endast för kreditupplysningsändamål. Vid helt eller delvis automatiserad behandling av uppgifter om juridiska personer skall den som bedriver kreditupplysningsverksamhet vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att hindra att behandlingen sker på ett otillåtet sätt och att uppgifterna utsätts för otillåten insyn. Bestämmelser om säkerheten vid behandling av personuppgifter finns i 30 32 §§ personuppgiftslagen. Utan hinder av 10 § personuppgiftslagen får personuppgifter behandlas utan samtycke i kreditupplysningsverksamhet. Den registrerade kan inte heller motsätta sig behandlingen. Bestämmelsen i andra stycket tillämpas inte i den utsträckning det skulle strida mot bestämmelserna i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. (Jfr 5 § i promemorians förslag och 5 § tredje och fjärde styckena förslag.) Paragrafen innehåller bestämmelser om bedrivande av kreditupplys- ningsverksamhet. Tillägget till första stycket innebär att vissa grund- läggande regler i personuppgiftslagen gäller när uppgifter behandlas i kreditupplysningsverksamhet. Andra stycket, som anger för vilket ända- mål uppgifter får samlas in, är nytt. Även tredje stycket om datasäkerhet, fjärde stycket om samtycke och femte stycket om förhållandet till tryckfrihetsförordningen och yttrandefrihetsgrundlagen är nya. Frågorna behandlas i avsnitt 4.2 och 4.3. Första stycket Första stycket första meningen anger allmänna krav på kreditupplys- ningsverksamhet. Verksamheten skall bedrivas så att den inte leder till otillbörligt intrång i personlig integritet genom innehållet i de upplys- ningar som förmedlas eller på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. I 9 § personuppgiftslagen finns grundläggande krav på behandling av personuppgifter. I andra meningen klargörs att 9 § första stycket a, b och d h personuppgiftslagen gäller för sådan behandling av personuppgifter i kreditupplysningsverksamhet som omfattas av personuppgiftslagen. Det innebär att de allmänna kraven i första meningen inte skall tillämpas på behandlingen om dessa bestämmelser i personuppgiftslagen är tillämp- liga. De allmänna kraven i första meningen gäller för de fall som inte omfattas av 9 § personuppgiftslagen, t.ex. för behandling av uppgifter om juridiska personer och för sådan behandling av personuppgifter som inte omfattas av personuppgiftslagen (jfr 5 § personuppgiftslagen). Bestämmelserna i 9 § första stycket c (ändamål) och i (gallring) personuppgiftslagen gäller inte i kreditupplysningsverksamhet, utan i stället tillämpas 5 § andra stycket resp. 8 § kreditupplysningslagen. Andra stycket Andra stycket anger att uppgifter om fysiska personer får samlas in endast för kreditupplysningsändamål. Med kreditupplysningsändamål avses bedömning av någons kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende (se 2 § första stycket). Det innebär att de uppgifter som samlas in skall vara relevanta för en kreditbedömning eller annan ekonomisk riskbedömning. Bestämmelsen gäller inte för uppgifter om juridiska personer. Tredje stycket I tredje stycket finns bestämmelser om datasäkerhet vid behandling av uppgifter om juridiska personer. Vid helt eller delvis automatiserad behandling av sådana uppgifter skall den som bedriver kreditupplys- ningsverksamheten vidta lämpliga tekniska och organisatoriska säker- hetsåtgärder för att hindra att behandlingen sker på ett otillåtet sätt och att uppgifterna utsätts för otillåten insyn. Vilka säkerhetsåtgärder som skall vidtas beror på arten av de uppgifter som skall skyddas och de risker som behandlingen kan innebära. Uttrycket helt eller delvis automatiserad är hämtat från personuppgiftslagen (se 5 § första stycket den lagen). Med behandling av uppgifter avses detsamma som i person- uppgiftslagen (jfr definitionen i 3 § den lagen). Av 4 § andra stycket följer att Datainspektionen får besluta om villkor för säkerheten. Bestämmelser om datasäkerhet vid behandling av uppgifter om fysiska personer finns i 30 32 §§ personuppgiftslagen. Fjärde stycket I fjärde stycket första meningen sägs uttryckligen att uppgifter får behandlas utan den registrerades samtycke. Det innebär att uppgifter om fysiska personer får behandlas i kreditupplysningsverksamhet även om den som avses med uppgiften inte har samtyckt till det. Bestämmelsen gäller i stället för 10 § personuppgiftslagen. I andra meningen klargörs att den registrerade inte heller har rätt att motsätta sig en sådan behandling. Bestämmelsen har införts på förslag av Lagrådet. Femte stycket Femte stycket innehåller en upplysning om att ändamålsbestämmelsen i andra stycket inte får tillämpas i den utsträckning det skulle strida mot bestämmelserna i tryckfrihetsförordningen eller yttrandefrihetsgrund- lagen (jfr 7 § personuppgiftslagen). Det innebär att ändamålsbestäm- melsen inte gäller i den mån den skulle strida mot anskaffarskyddet i 1 kap. 1 § fjärde stycket tryckfrihetsförordningen och 1 kap. 2 § yttrandefrihetsgrundlagen. 6 § Uppgifter om en persons ras, etniska ursprung, politiska uppfattning, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv får inte behandlas i kreditupplysningsverksamhet. Uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden får inte utan medgivande av Datainspektionen behandlas i kreditupplysningsverksamhet. Ett medgivande som avses i andra stycket får lämnas endast om det finns synnerliga skäl. Vad som anges i andra stycket hindrar inte att uppgifter om betalningsförsummelser, kreditmissbruk eller näringsförbud behandlas i kreditupplysningsverksamhet. (Jfr 6 § i promemorians förslag och 6 § i förslag.) Paragrafen reglerar behandlingen av känsliga uppgifter m.m. Bestäm- melserna har anpassats till dataskyddsdirektivet och personuppgiftslagen. Förbudet i första stycket har utökats med uppgifter om medlemskap i fackförening och hälsa. I andra stycket har den särskilda regleringen för uppgifter om åtgärder enligt socialtjänstlagen m.fl. lagar utgått och bestämmelserna om brottmålsdomar m.m. utformats i överensstämmelse med 21 § första stycket personuppgiftslagen. Med behandling av uppgifter avses detsamma som i personuppgiftslagen (jfr definitionen i 3 § den lagen). Bestämmelserna gäller i stället för 13 21 §§ personuppgiftslagen. Övervägandena finns i avsnitt 4.4. 8 § En uppgift om en fysisk person skall gallras när det är nödvändigt att bevara uppgiften med hänsyn till ändamålet med registret. En uppgift om en fysisk person som inte är näringsidkare skall gallras senast när har förflutit från utgången av det år då den omständighet inträffade eller det förhållande upphörde som uppgiften avser. (Jfr 8 § i promemorians förslag och 8 § i förslag.) Paragrafen innehåller bestämmelser om gallring. En allmän gallrings- bestämmelse har tagits in i första stycket och treårsregeln har fått en ny lydelse i andra stycket. Bestämmelserna gäller i stället för 9 § första stycket i personuppgiftslagen. Övervägandena finns i avsnitt 4.5. Första stycket Enligt den allmänna gallringsbestämmelsen skall en uppgift om en fysisk person gallras när det är nödvändigt att bevara uppgiften med hänsyn till ändamålet med registret. Det gäller uppgifter om alla fysiska personer, dvs. Det innebär att en uppgift, t.ex. om näringsförbud, skall gallras när det är nödvändigt att bevara uppgiften för kreditupplysningsändamål. Andra stycket Treårsregeln i andra stycket sätter en yttersta gräns för uppgifter om privatpersoner. En uppgift om en fysisk person som inte är näringsidkare skall gallras senast när har förflutit från utgången av det år då den omständighet inträffade eller det förhållande upphörde som avses med uppgiften. Bestämmelsen innebär att en uppgift om en privatperson alltid skall gallras . 10 § Var och en har rätt att mot skälig avgift hos den som bedriver kreditupplys- ningsverksamhet få skriftligt besked om huruvida det i verksamheten behandlas uppgifter om honom. Fysiska personer har rätt att en gång per kalenderår få ett besked gratis. Behandlas sådana uppgifter skall besked lämnas om a) vilka uppgifter som behandlas, b) om den registrerade är en fysisk person: varifrån uppgifterna har hämtats, c) ändamålen med behandlingen och d) till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Bestämmelserna i första stycket tillämpas inte i den utsträckning det skulle strida mot bestämmelserna i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. En begäran om besked enligt första stycket om en fysisk person skall göras skriftligen och vara egenhändigt undertecknad. (Jfr 10 § i promemorians förslag och 10 § i Kreditupplysningsutred- ningens förslag.) Paragrafen reglerar rätten till registerbesked. Informationsskyldigheten har anpassats till dataskyddsdirektivet och till motsvarande bestämmelser i personuppgiftslagen. Andra stycket innehåller en upplysning om att bestämmelserna i första stycket inte får tillämpas i den utsträckning det skulle strida mot bestämmelserna i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen (jfr 7 § personuppgiftslagen). Det innebär att om ett besked om varifrån uppgifterna har hämtats skulle strida mot meddelarskyddet i 3 kap. 3 § tryckfrihetsförordningen och 2 kap. 3 § yttrandefrihetsgrundlagen så skall besked inte lämnas om detta. I det nya tredje stycket har tagits in ett krav på skriftlighet och egenhändigt undertecknande för begäran om registerbesked om en fysisk person. Bestämmelserna gäller i stället för 26 § personuppgiftslagen. Frågorna behandlas i avsnitt 4.6. 11 § När en kreditupplysning om en fysisk person lämnas ut, skall till den som avses med upplysningen och kostnadsfritt sändas ett skriftligt meddelande om a) vem som bedriver kreditupplysningsverksamheten, b) ändamålen med behandlingen, c) de uppgifter, omdömen och råd som upplysningen innehåller om honom, d) möjligheten att få rättelse av de uppgifter som rör honom, och e) vem som har begärt upplysningen. Vad som sägs i första stycket gäller också när en kreditupplysning lämnas om ett handelsbolag eller kommanditbolag. Vad som sägs i första och andra styckena gäller inte kreditupplysningar som lämnas genom offentliggörande på ett sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. (Jfr 10 § i promemorians förslag.) Paragrafen reglerar rätten till kreditupplysningskopia. Informations- skyldigheten har anpassats till dataskyddsdirektivet och till motsvarande bestämmelser i personuppgiftslagen. Bestämmelserna gäller i stället för 23 25 §§ personuppgiftslagen. Frågorna behandlas i avsnitt 4.6. 12 § Finns det anledning att misstänka att en uppgift som behandlas i kredit- upplysningsverksamhet eller som har lämnats i en kreditupplysning är oriktig eller missvisande, eller att den annars har behandlats i strid med denna lag, skall den som bedriver verksamheten utan dröjsmål vidta skäliga åtgärder för att utreda förhållandet. Visar det sig att uppgiften är oriktig eller missvisande, eller att den annars har behandlats i strid med lagen, skall den, om den förekommer i register, rättas, kompletteras eller uteslutas ur registret.