prop · GO0350 · 2001-01-01 00:00:00 — Regeringens proposition 2000/01:50 Kreditupplysningslagen och dataskyddsdirektivet Prop. Regeringen överlämnar denna proposition till . Propositionens huvudsakliga innehåll Propositionen innehåller förslag till ändringar i kreditupplysningslagen (1973:1173). Förslagen syftar i första hand till att anpassa kreditupp- lysningslagen till EG:s dataskyddsdirektiv och personuppgiftslagen (1998:204). Lagändringarna ger förstärkningar i den enskildes integritetsskydd. De innebär i huvudsak följande. I kreditupplysningsverksamhet får uppgifter om fysiska personer samlas in endast för kreditupplysningsändamål. Personuppgiftslagens grundläggande krav på behandling av person- uppgifter skall gälla också i kreditupplysningsverksamhet. Bestämmelserna om begränsningar för behandling av känsliga uppgifter anpassas till direktivet och personuppgiftslagen. Skyldigheten att informera i registerbesked och kreditupplysnings- kopior utökas. En begäran om registerbesked om en fysisk person skall göras skriftligen och vara egenhändigt undertecknad. En allmän bestämmelse om gallring av uppgifter införs. Bestämmelserna om rättelse av uppgifter skall omfatta inte endast felaktiga och missvisande uppgifter utan även uppgifter som annars har behandlats i strid med lagen. I propositionen görs vidare bedömningen att uppgifter också i fort- sättningen bör få behandlas utan att den enskilde har gett sitt samtycke till behandlingen, och det föreslås en uttrycklig bestämmelse om detta. Det föreslås även bestämmelser om datasäkerhet för uppgifter om juridiska personer. Regeringen tar även upp frågan om användning av s.k. flödesinforma- tion i kreditupplysningar avseende näringsidkare. Regeringen gör be- dömningen att kreditupplysningslagen inte bör ändras för att möjliggöra en ökad användning av sådana uppgifter. Vissa andra aktuella frågor som rör kreditupplysningsverksamhet behandlas inte i propositionen. En sådan fråga är vad som bör gälla för uppgifter om skuldsanering i kreditupplysningar. En annan gäller de problem som är förenade med att kreditupplysningar om näringsidkare får innehålla uppgifter med viss osäkerhet. Dessa frågor övervägs inom . (SOU 1999:105) och Bulvanutred- ningen (SOU 1998:47) har lämnat vissa förslag som rör kreditupplys- ningsverksamhet. Dessa förslag bereds inom . De här föreslagna lagändringarna föreslås träda i kraft . Bokmärket är inte definierat. 2 Förslag till lag om ändring i kreditupplysningslagen (1973:1173) 5 3 Ärendet och dess beredning 11 4 Anpassning till dataskyddsdirektivet 13 4.1 Kreditupplysningslagen och dataskyddsdirektivet 13 4.2 Grundläggande krav 15 4.3 Behandling av uppgifter utan samtycke 19 4.4 Känsliga uppgifter m.m. 21 4.5 Gallring 25 4.6 Information till den registrerade 27 4.7 Rättelse 29 5 Flödesinformation 30 6 Ikraftträdande- och övergångsbestämmelser 32 7 Ekonomiska konsekvenser av förslagen 33 8 Författningskommentar 34 Bilaga 1 Dataskyddsdirektivet. 40 Bilaga 2 Sammanfattning av departementspromemorian 73 Bilaga 3 Departementspromemorians lagförslag 74 Bilaga 4 Datainspektionens rapport 78 Bilaga 5 Förteckning över remissinstanserna 81 Bilaga 6 Lagrådsremissens lagförslag 82 Bilaga 7 Lagrådets yttrande 88 Protokollsutdrag 91 Rättsdatablad 92 2 Förslag till riksdagsbeslut Regeringen föreslår att antar regeringens förslag till lag om ändring i kreditupplysningslagen (1973:1173). 3 Förslag till lag om ändring i kreditupplysningslagen (1973:1173) Härigenom föreskrivs i fråga om kreditupplysningslagen (1973:1173) dels att 5, 6, 8 och 10 12 §§ skall ha följande lydelse, dels att det närmast före 5 a, 9, 13, 14 och 23 §§ skall införas nya rubriker som skall lyda Informationsutbyte , Utlämnande av upplys- ningar , Överlåtelse och upplåtelse av register , Tystnadsplikt respektive Överklagande , dels att det närmast före 6, 8, 10, 11 och 12 §§ skall införas nya rubriker av följande lydelse. Nuvarande lydelse Föreslagen lydelse 5 § Kreditupplysningsverksamh et skall bedrivas så att den ej leder till otillbörligt intrång i personlig integritet genom innehållet i de upplysningar som förmedlas eller på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. Kreditupplysningsverksamh et skall bedrivas så att den inte leder till otillbörligt intrång i personlig integritet genom innehållet i de upplysningar som förmedlas eller på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. För sådan behandling av personuppgifter som omfattas av personuppgiftslagen (1998:204) gäller i stället 9 § första stycket a, b och d h den lagen. Uppgifter om fysiska personer får samlas in endast för kreditupplysningsändamål. Vid helt eller delvis automa- tiserad behandling av uppgifter om juridiska personer skall den som bedriver kreditupplysnings- verksamhet vidta lämpliga tek- niska och organisatoriska säker- hetsåtgärder för att hindra att behandlingen sker på ett otillåtet sätt och att uppgifterna utsätts för otillåten insyn. Bestämmelser om säkerheten vid behandling av personuppgifter finns i 30 32 §§ personuppgiftslagen. Utan hinder av 10 § personuppgiftslagen får personuppgifter behandlas utan samtycke i kreditupp- lysningsverksamhet. Den registrerade kan inte heller motsätta sig behandlingen. Bestämmelsen i andra stycket tillämpas inte i den utsträckning det skulle strida mot bestämmel- serna i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Känsliga uppgifter m.m. 6 § Uppgifter om en persons ras, etniska ursprung, politiska uppfattning, religiösa eller filosofiska övertygelse eller sexualliv får inte samlas in, lagras eller lämnas ut i kreditupplysningsverksamhet. Uppgifter om en persons ras, etniska ursprung, politiska uppfattning, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv får inte behandlas i kreditupplys- ningsverksamhet. Uppgifter om sjukdom, hälso- tillstånd eller liknande får inte utan medgivande av Datainspek- tionen samlas in, lagras eller lämnas ut i kreditupplysnings- verksamhet. Detsamma gäller uppgifter om att någon misstänks eller har dömts för brott eller har avtjänat straff eller undergått någon annan påföljd för brott eller har varit föremål för någon åtgärd enligt socialtjänstlagen (1980:620), lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, lagen (1993:387) om stöd och service till vissa funktionshindrade, 11 14 §§ polislagen (1984:387), lagen (1976:511) om omhändertagande av berusade personer m.m. eller utlänningslagen (1989:529). Uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden får inte utan medgivande av Datainspektionen behandlas i kreditupplysningsverksamhet. Ett medgivande som avses i andra stycket får lämnas endast om det finns synnerliga skäl. Vad som anges i andra stycket hindrar inte att uppgifter om betal- ningsförsummelser, kreditmiss- bruk eller näringsförbud samlas in, lagras eller lämnas ut i kreditupplysningsverksamhet. Vad som anges i andra stycket hindrar inte att uppgifter om betal- ningsförsummelser, kreditmiss- bruk eller näringsförbud behand- las i kreditupplysningsverksamhet. En uppgift om en fysisk person skall gallras när det är nödvändigt att bevara uppgiften med hänsyn till ändamålet med registret. Kreditupplysningar om fysiska personer som inte är näringsidkare får inte innehålla uppgifter om omständigheter eller förhållanden som är av betydelse för bedömningen av personens vederhäftighet i ekonomiskt hänseende, förflutit från utgången av det år då omständigheten inträffade eller förhållandet upphörde. Uppgifter som inte får lämnas ut skall efter den angivna tiden gallras ut ur register som används i kreditupplysningsverksamhet. Gallringen skall göras så snart det kan ske och i vart fall innan en upplysning lämnas om den som uppgiften avser. En uppgift om en fysisk person som inte är näringsidkare skall gallras senast när har för- flutit från utgången av det år då den omständighet inträffade eller det förhållande upphörde som uppgiften avser. Registerbesked 10 § Var och en har rätt att mot skälig avgift hos den som bedriver kreditupplysningsverksamhet få skriftligt besked om huruvida det i verksamheten finns uppgifter lagrade om honom och, om det finns sådana uppgifter, vad de har för innehåll. Var och en har rätt att mot skä- lig avgift hos den som bedriver kreditupplysningsverksamhet få skriftligt besked om huruvida det i verksamheten behandlas uppgifter om honom. Fysiska personer har rätt att en gång per kalenderår få ett besked gratis. Behandlas sådana uppgifter skall besked lämnas om a) vilka uppgifter som behand- las, b) om den registrerade är en fysisk person: varifrån uppgifterna har hämtats, c) ändamålen med behandlingen och d) till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Bestämmelserna i första stycket tillämpas inte i den utsträckning det skulle strida mot bestämmelserna i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. En begäran om besked enligt första stycket om en fysisk person skall göras skriftligen och vara egenhändigt undertecknad. Kreditupplysningskopia 11 § När en kreditupplysning om en fysisk person lämnas ut, skall till den som avses med upplysningen och kostnadsfritt sändas ett skriftligt meddelande om de uppgifter, omdömen och råd som upplysningen innehåller rörande honom och om vem som har begärt upplysningen. När en kreditupplysning om en fysisk person lämnas ut, skall till den som avses med upplysningen och kostnadsfritt sändas ett skriftligt meddelande om a) vem som bedriver kreditupplysningsverksamheten, b) ändamålen med behand- lingen, c) de uppgifter, omdömen och råd som upplysningen innehåller om honom, d) möjligheten att få rättelse av de uppgifter som rör honom, och e) vem som har begärt upplys- ningen. Vad som sägs i första stycket gäller också när en kreditupplysning lämnas om ett handelsbolag eller kommanditbolag. Vad som sägs i första och andra stycket gäller inte kreditupplys- ningar som lämnas genom offent- liggörande på ett sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Vad som sägs i första och andra styckena gäller inte kreditupplys- ningar som lämnas genom offent- liggörande på ett sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Rättelse 12 §6 Förekommer anledning till misstanke att en uppgift i kreditupplysning som lämnats eller i register som används i kreditupplysningsverksamhet är oriktig eller missvisande, skall den som bedriver verksamheten utan dröjsmål vidta skäliga åtgärder för att utreda förhållandet. Finns det anledning att miss- tänka att en uppgift som behandlas i kreditupplysningsverksamhet eller som har lämnats i en kredit- upplysning under den senaste tolv- månadersperioden är oriktig eller missvisande, eller att den annars har behandlats i strid med denna lag, skall den som bedriver verksamheten utan dröjsmål vidta skäliga åtgärder för att utreda för- hållandet. Visar sig uppgiften vara oriktig eller missvisande, skall den, om den förekommer i register, rättas, kompletteras eller uteslutas ur registret. Har uppgiften tagits in i en kreditupplysning som lämnats på annat sätt än som avses i tryckfrihetsförordningen och ytt- randefrihetsgrundlagen, skall rät- telse eller komplettering så snart det kan ske tillställas var och en som under den senaste tolv- månadersperioden fått del av upp- giften. Har uppgiften lämnats i periodisk skrift eller i en kreditupplysningsverksamhet som bedrivs genom återkommande offentliggöranden enligt yttrandefrihetsgrundlagen, skall rättelse eller komplettering så snart det kan ske införas i ett följande nummer av skriften eller motsvarande form av offentliggörande enligt yttrandefrihetsgrundlagen. Vad som sägs i detta stycke gäller dock icke, om uppgiften uppen- barligen saknar betydelse för be- dömningen av vederbörandes vederhäftighet i ekonomiskt hän- seende. Visar det sig att uppgiften är oriktig eller missvisande, eller att den annars har behandlats i strid med lagen, skall den, om den förekommer i register, rättas, kompletteras eller uteslutas ur registret. Har en oriktig eller missvisande uppgift tagits in i en kreditupplysning som lämnats på annat sätt än som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen, skall rättelse eller komplettering så snart det kan ske tillställas var och en som fått del av uppgiften. Har uppgiften lämnats i en periodisk skrift eller i en kreditupplysningsverksamhet som bedrivs genom återkommande offentliggöranden enligt yttrandefrihetsgrundlagen, skall rättelse eller komplettering så snart det kan ske införas i ett följande nummer av skriften eller motsvarande form av offentliggörande enligt yttrandefrihetsgrundlagen. Vad som sägs i detta stycke gäller dock inte, om uppgiften uppen- barligen saknar betydelse för be- dömningen av vederbörandes vederhäftighet i ekonomiskt hän- seende. Har en fråga om rättelse eller liknande åtgärd tagits upp efter framställning från den som uppgiften avser, skall denne kostnadsfritt underrättas om huruvida sådan åtgärd vidtagits. Denna lag träder i kraft . I stället för 5 § första stycket tillämpas 5 § i dess äldre lydelse i fråga om sådan behandling av personuppgifter för vilken 9 § personuppgiftslagen (1998:204) enligt övergångsbestämmelserna till den lagen inte är tillämplig. 4 Ärendet och dess beredning Kreditupplysningslagen (1973:1173) innehåller regler för den yrkes- mässigt bedrivna kreditupplysningsverksamheten. Lagen syftar i första hand till att undanröja riskerna för att kreditupplysningar medför otillbörligt intrång i de omfrågades personliga integritet eller leder till skada genom oriktiga eller missvisande uppgifter. är lagen avsedd att bidra till en effektivt fungerande kreditupplysningsverk- samhet. tillkallades en särskild utredare för att se över kreditupplys- ningslagen (dir. 1991:69 och 1993:41), . Utredaren presenterade sitt arbete i delbetänkandet EES-anpassning av kreditupplysningslagen (SOU 1992:22) och i slutbetänkandet Integritet och effektivitet på kreditupplysningsområdet (SOU 1993:110). och rådet antog direktivet 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (data- skyddsdirektivet). Direktivet finns i bilaga 1. tillkallades en kommitté med uppgift att göra en total revision av datalagen (1972:289) och analysera på vilket sätt dataskyddsdirektivet skulle genomföras (dir. 1995:91), . Kommittén överlämnade sitt betänkande Integritet Offentlighet Informationsteknik (SOU 1997:39). Kommitténs förslag ledde till personuppgiftslagen (1998:204). Personuppgiftslagen, som trädde i kraft , ersatte datalag och genomförde direktivet i huvudsak (prop. 1997/98:44, bet. 1997/98:KU18, rskr. 1997/98:180). I förarbetena konstaterades att ett stort antal andra författningar, bl.a. kreditupplysningslagen, måste anpassas till direktivet och till personuppgiftslagen och att detta arbete skulle drivas vidare inom . De flesta av förslag har resulterat i lagstiftning (prop. 1996/97:65, bet. 1996/97:FiU23 och 27, rskr. 1996/97:274). Med hänsyn till då pågående arbete lämnades dock frågor som behandlas i dataskyddsdirektivet eller som annars hade beröring med arbete utanför lagstift- ningsärendet. En fråga som inte togs upp är om kreditupplysningslagen bör fullständigt reglera vad som skall gälla på kreditupplysningsområdet eller om lagen bör samverka med andra lagar, särskilt numera person- uppgiftslagen. En annan fråga som inte behandlades är frågan om datasäkerhet. Utanför lagstiftningsärendet lämnades också frågan om uppgifter skall få samlas in och lagras i kreditupplysningsverksamhet utan att den berörda personen har lämnat sitt samtycke till det. På uppdrag av har utarbetats promemorian Kre- ditupplysningslagen anpassning till dataskyddsdirektivet (Ds 1998:44). I promemorian analyseras vilka ändringar som bör göras i kreditupplysningslagen med anledning av direktivet och personuppgiftslagen, varvid även de flesta av de återstående frågorna från förslag behandlas. En sammanfattning av promemorian finns i bilaga 2. Promemorians lagförslag finns i bilaga 3. I olika sammanhang har framförts kritik, bl.a. från kreditupplysnings- företag, mot att kreditupplysningslagens grundläggande krav på hur kreditupplysningsverksamhet skall bedrivas kommit att ges en större betydelse i praxis än som enligt kritikerna varit avsett när kraven infördes. Kritiken har skjutit in sig på att uppgifter om vidtagna inkasso- åtgärder och uppgifter ur företags kundreskontra inte fått användas i kreditupplysningar om näringsidkare. uppdrog regeringen åt Datainspektionen att utreda vilka upp- gifter om näringsidkare som bör få användas i kreditupplysningar. Datainspektionen redovisade uppdraget i en rapport . Data- inspektionens bedömning finns i bilaga 4. Promemorian och rapporten har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 5. Remissyttrandena finns tillgängliga i lagstiftningsärendet (Ju 98/2403). I propositionen behandlar regeringen de förslag som lämnats i prome- , kvarstående förslag från samt de frågor som berörs i Datainspektionens rapport. Flera remissinstanser har synpunkter och förslag i andra frågor som rör kreditupplysningsverksamhet. Dessa och andra frågor som aktualiserats under arbetet behandlas inte i propositionen. En fråga som kommit upp är hur länge en uppgift om skuldsanering bör kvarstå innan den gallras ur kreditupplysningsregister. kvarstår uppgiften om skuldsanering då saneringen avslutades. Den frågan kommer att behandlas i en kommande departementsprome- moria om skuldsanering m.m. I har också tagits upp de problem som är förenade med att kreditupplysningar om näringsidkare får innehålla uppgifter som är förenade med viss osäkerhet, t.ex. ansökningar om betalningsföreläggande. (SOU 1999:105) föreslår vissa änd- ringar vad gäller sekretessen inom exekutionsväsendet som får betydelse för kreditupplysningsverksamhet. Betänkandet har remissbehandlats och bereds inom . Detsamma gäller för förslag (SOU 1998:47) som även det berör kreditupplysningsverksamhet. Lagrådet Regeringen beslutade att inhämta Lagrådets ytt- rande över de lagförslag som finns i bilaga 6. Lagrådets yttrande finns i bilaga 7. Lagrådet har godtagit förslagen men förordat att det i lagen införs en uttrycklig bestämmelse om den registrerades rätt att motsätta sig behandling av uppgifter. Lagrådet har också beträffande en lagändring föreslagit en övergångsbestämmelse. Regeringen har följt Lagrådets förslag. Lagrådets förslag och synpunkter i övrigt behandlas i avsnitten 4.3, 4.4 och 6 samt i författningskommentaren. I förhållande till lagrådsremissens förslag har en bestämmelse som ger fysiska personer rätt till ett registerutdrag gratis lagts till. Dessutom har några språkliga och redaktionella ändringar gjorts. 5 Anpassning till dataskyddsdirektivet 5.1 Kreditupplysningslagen och dataskyddsdirektivet Regeringens bedömning: Kreditupplysningslagen bör inte innehålla en heltäckande reglering, utan även personuppgiftslagen bör vara tillämplig på kreditupplysningsverksamhet. Promemorians bedömning överensstämmer med regeringens bedömning (se promemorian s. 21 f.). Remissinstanserna instämmer i bedömningen eller lämnar den utan någon invändning. Skälen för regeringens bedömning: Med kreditupplysningar avses uppgifter, omdömen eller råd som lämnas till ledning för bedömning av någons kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hän- seende. Kreditupplysningslagen gäller för kreditupplysningar avseende såväl fysiska som juridiska personer. Sådan kreditupplysningsverksamhet som omfattas av lagen får, med vissa undantag, bedrivas endast efter tillstånd av Datainspektionen. Lagen ställer upp vissa grundläggande krav på hur verksamheten skall bedrivas. Särskilda och strängare regler gäller för känsliga uppgifter, t.ex. uppgifter om etniskt ursprung, brott eller hälsa. Uppgifter om fysiska personer som inte är näringsidkare skall gallras . När en kreditupplysning om en fysisk person lämnas ut, skall den omfrågade få en kreditupplysningskopia. Var och en har rätt att få besked om vilka uppgifter som finns registerade om honom eller henne. I kreditupplysningslagen finns även bestämmelser om bl.a. skadestånd. Kreditupplysningar avseende fysiska personer utgör som regel personuppgifter. För behandling av personuppgifter finns en generell reglering i dataskyddsdirektivet vilket har genomförts i svensk rätt i personuppgiftslagen. Regleringen omfattar uppgifter om fysiska personer men inte uppgifter om juridiska personer. Den gäller inte för all behandling utan är begränsad till automatiserad behandling och viss strukturerad behandling. Sålunda ryms den behandling som i praktiken kan innebära störst risker för den enskildes integritet. Till skillnad från kreditupplysningslagen innehåller direktivet och personuppgiftslagen inte något allmänt krav på tillstånd innan personuppgifter får behandlas, utan regleringen bygger i stället på anmälningsskyldighet. Sådana personuppgifter som innebär särskilda risker får dock behandlas först efter förhandskontroll. Vid behandling av personuppgifter skall vissa grundläggande krav följas. I likhet med kreditupplysningslagen gäller strängare regler för uppgifter som är särskilt känsliga. Utgångspunkten är vidare att det krävs att den registerade har gett sitt samtycke för att någon skall få behandla uppgifter om honom eller henne. Information om behandlingen skall lämnas till den registrerade, både självmant och efter ansökan. Även regler om skadestånd finns. För kreditupplysningsverksamhet gäller sålunda både kreditupplys- ningslagen och personuppgiftslagen. tog upp frågan om kreditupplysningslagen inte i stället borde innehålla en heltäckande reglering (se SOU 1993:110 s. 114 f.). Utredningen hän- visade bl.a. till att den rådande ordningen innebär olägenheter eftersom kreditupplysningsföretagen måste följa inte bara kreditupplysningslagen utan också andra författningar, främst den då gällande datalagen som alltså nu har ersatts av personuppgiftslagen. Utredningen ansåg att kreditupplysningslagen så fullständigt som möjligt borde reglera vad som skall gälla på kreditupplysningsområdet. Frågan tas också upp i promemorian. Där görs den bedömningen att behandling av personuppgifter i kreditupplysningsverksamhet bör regle- ras i första hand genom personuppgiftslagen. Det skulle i och för sig kunna innebära praktiska fördelar, inte minst för kreditupplysningsföretagen, om alla de bestämmelser som är rele- vanta för verksamheten fanns samlade i kreditupplysningslagen. Rege- ringen instämmer likväl i promemorians och remissinstansernas bedöm- ning att det inte är lämpligt att låta kreditupplysningslagen innehålla en heltäckande reglering. Personuppgiftslagen är avsedd att vara allmänt tillämplig och innehålla generella regler. Behovet av särregler för vissa verksamheter förutses bli tillgodosett genom andra författningar. Av personuppgiftslagen följer sålunda att bestämmelser i en annan lag eller en förordning skall gälla om de avviker från personuppgiftslagen (2 §). I författningar för andra verksamheter som regleras av personuppgifts- lagen, t.ex. beträffande polisregister och hälsodata- och vårdregister, har inte införts någon fullständig reglering. I stället har man där bara tagit in de bestämmelser som speciellt reglerar verksamheten eller som annars ansetts lämpligen böra finnas i författningen. En annan ordning skulle också göra kreditupplysningslagen otymplig. Kreditupplysningslagen bör alltså inte innehålla en heltäckande reglering, utan även personuppgiftslagen bör vara tillämplig i kreditupplysningsverksamhet.