sou · GQB32 · 2003-01-01 00:00:00 — Således står all inkassoverksamhet under någon form av tillsyn. 10.3Vilken myndighet skall meddela tillstånd och utöva tillsyn? Vilken myndighet som skall meddela tillstånd och utöva tillsyn enligt kreditupplysningslagen har varit föremål för övervägande.7 föreslog att tillståndsprövningen skulle utföras av Datainspektionen men att ansvaret för tillsynen skulle vara uppdelat mellan Datainspektionen och . 1996/97:65 s. 33. 1974:42 s. 88 f. 7Kreditupplysningsutredningen, SOU 1993:110. SOU 2002:2 Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet 193 uppdelning ansåg emellertid regeringen skulle innebära ett mindre effektivt utnyttjande av resurserna och en risk för att de olika delarna av kreditupplysningsmarknaden inte skulle styras av överensstäm- mande villkor. Eftersom Datainspektionen, till skillnad från Finans- inspektionen, som en av sina huvuduppgifter har att värna om skyddet för den personliga integriteten var det regeringens uppfattning att Datainspektionen skulle ha hand om tillståndsprövningen samt vara tillsynsmyndighet inom hela kreditupplysningsområdet. Att just integri- tetsskyddsfrågor tillskrevs stor betydelse när det gäller vilken myndig- het som skall ha ansvaret för tillståndsprövningen och tillsynen ansågs naturligt med hänsyn till att kreditupplysningslagens huvudsyfte är att förhindra att kreditupplysning leder till otillbörligt intrång i den personliga integriteten. Därutöver ansåg man Datainspektionens långa erfarenhet av de frågor som kan bli aktuella i kreditupplysnings- sammanhang och ett betydande mått av sakkunskap inom området hos myndigheten talade för Datainspektionen. Man ville också ta tillvara Datainspektionens kompetens inom dataområdet, eftersom dator- tekniken spelar en viktig roll för kreditupplysningsverksamhet och att därmed tillståndsprövningen och tillsynsuppgifterna enligt datalagen (numera personuppgiftslagen) och kreditupplysningslagen samman- föll.8 Inkassolagen syftar också i första hand till att skydda enskilda mot olika slags integritetskränkningar i samband med behandling av person- uppgifter. Syftet med inkassolagens regler är i första hand att undanröja riskerna för att gäldenären utsätts för otillbörliga inkassoåtgärder eller i övrigt tillfogas onödig skada eller olägenhet genom inkassoverksamhet. Även i detta sammanhang framhålls således skyddet för den personliga integriteten. Inkassolagens regler är emellertid också till skydd för näringsidkare. Att tillsynsinsatserna enligt de olika lagarna motsvarar varandra bekräftas av Datainspektionen . Tillsynsverksamheten enligt kreditupplysnings- och inkassolagarna är i första hand inriktad på behandlingen av personuppgifter i de olika verksamheterna. Tillsynen sker därför oftast enligt såväl kreditupplysnings- eller inkassolagen som personuppgiftslagen. Inspektionsinsatserna motsvarar således de som sker enbart enligt personuppgiftslagen med den skillnaden att man har ytterligare bestämmelser att beakta, vilka även de reglerar bl.a. integritetsskyddet. Tillsyn över kreditupplysnings- och inkassoverksamhet är således inte bara kontroll av behandling av personuppgifter. Tillsynen inne- fattar också att se till att god sed iakttas och att reglerna i kreditupp- 1996/97:65. 194 Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet SOU 2002:2 lysnings- och inkassolagarna efterlevs. Således syftar lagstiftningen, utöver att värna om skyddet för den personliga integriteten, till att i bl.a. finansmarknadens och konsumenternas intresse bidra till en effektivt fungerande kreditupplysnings- och inkassoverksamhet. 10.3.1För och emot Datainspektionen För att Datainspektionen skall behålla tillstånds- och tillsynsansvaret inom det aktuella området talar först och främst att kreditupplysnings- och inkassolagarnas huvudsyfte är att förhindra att kreditupplysnings- eller inkassoåtgärder leder till otillbörligt intrång i den personliga integriteten. Kreditupplysnings- och inkassoverksamhet innebär behandling av en stor mängd personuppgifter. De stora kreditupplysningsföretagen inhämtar personuppgifter om i stort sett hela vuxna befolkning. Detta sker på elektronisk väg från i första hand stora statliga register med stöd av offentlighetsprincipen. Inkassoföretagen har personuppgifter om nästan 2 miljoner svenska gäldenärer registrerade. Behandlingen av uppgifter hos kreditupplysnings- och inkassoföretag sker givetvis också automatiserat. Huvuduppgiften för Datainspektionen är att värna om skyddet för den personliga integriteten vid behandling av personuppgifter. Data- inspektionen har en särskild kompetens när det gäller automatiserad behandling av personuppgifter och i praktiken är det ofta så att mynd- ighetens tillsynsuppgift enligt kreditupplysnings- och inkassolagarna sammanfaller med den enligt personuppgiftslagen. Hos Datainspektionen finns vidare en lång erfarenhet av de frågor som kan bli aktuella i kreditupplysnings- och inkassosammanhang och ett betydande mått av sakkunskap inom området. Enbart den omständigheten att kreditupplysnings- och inkasso- verksamhet kan påverka den personliga integriteten utgör emellertid inte skäl för att just Datainspektionen skall ha ansvaret för tillstånd och tillsyn inom detta speciella område. Det finns även andra områden som innefattar viktiga integritetsaspekter utan att för den skull Data- inspektionen bär huvudansvaret för tillsynen. Som exempel kan nämnas Post- och verksamhetsområde. Detta förhållande hindrar emellertid inte att Datainspektionen även inom detta område tillvaratar skyddet för den personliga integriteten genom tillsyn enligt personuppgiftslagen. Om handläggningen av tillståndsärenden och tillsyn enligt kredit- upplysnings- och inkassolagarna läggs på en annan myndighet skulle det medföra att Datainspektionens verksamhet kan renodlas ännu mer. SOU 2002:2 Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet 195 En sådan förändring ger Datainspektionen förutsättningar att ytterligare intensifiera sina resurser på tillsyn över behandling av personuppgifter inom alla delar av samhället. En sådan renodling ligger också i linje med den förändring av Datainspektionens verksamhet som personuppgiftslagen medfört. Till- stånds- och licenssystemet enligt datalagen har slopats och inspek- tionen skall i stället numera koncentrera sin verksamhet på att lämna information om personuppgiftslagen och ge råd i integritetsfrågor samt utföra inspektioner för att kontrollera att personuppgiftslagen och annan integritetsskyddslagstiftning efterlevs. Enligt instruktionen för (SFS 1996:596) är inspek- tionen central förvaltningsmyndighet för tillsynen över finansiella marknader, kreditinstitut och det enskilda försäkringsväsendet. Under tillsyn står 2 500 företag och försäkringsmäklare: banker och andra kreditinstitut, värdepappersbolag och fondbolag, börser, auktoriserade marknadsplatser och clearingorganisationer samt försäkringsbolag, understödsföreningar och försäkringsmäklare. De övergripande målen för verksamhet är att bidra till det finansiella systemets stabilitet och effektivitet samt att verka för ett gott konsumentskydd. har bl.a. till uppgift att utöva tillsyn i enlighet med vad som anges i lag eller annan författning, följa och analysera utvecklingen inom verksamhetsområdet samt meddela föreskrifter. meddelar också tillstånd att bedriva bankrörelse (s.k. oktroj). är således den myndighet som meddelar tillstånd för verksamhet som erbjuder finansiella tjänster. Om det grundläggande tillståndet från omfattar kredit- upplysningsverksamhet, behövs inget särskilt tillstånd från Datainspektionen för att få bedriva sådan verksamhet. Om företaget avser att bedriva kreditupplysningsverksamhet skall detta dock anmälas till Datainspektionen. Datainspektionen har endast fått in en (1) sådan anmälan och företaget ifråga bedriver inte kreditupplysnings- verksamhet i egentlig mening. Datainspektionen har det totala ansvaret för tillsyn över kreditupp- lysningsverksamhet, vilket har motiverats av att det i första hand är fråga om inspektion av behandling av personuppgifter och att detta även i övrigt är Datainspektionens huvuduppgift. Ytterligare skäl för att Datainspektionen ensam skall bära ansvaret har som nämnts tidigare ansetts vara ett mer effektivt utnyttjande av resurserna och att risken 196 Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet SOU 2002:2 för att de olika delarna av kreditupplysningsmarknaden inte skulle styras av överensstämmande villkor undanröjs. När det gäller inkassoverksamhet behöver de företag som Finans- inspektionen utövar tillsyn över inte Datainspektionens tillstånd för att bedriva sådan verksamhet. Dessa företag omfattas inte heller av Datainspektionens tillsyn enligt inkassolagen, utan denna utövas av . Bakgrunden till att ansvaret för tillsyn enligt inkassolagen, till skillnad från tillsyn enligt kreditupplysningslagen, är uppdelat mellan olika myndigheter är att det ansetts mindre lämpligt att företagen på finansmarknaden skall stå under tillsyn av flera olika myndigheter.9 När frågan om tillsyn och tillstånd enligt kreditupplysningslagen av- handlades senast uttalades att kreditupplysningsverksamhet har sam- band med kreditgivning men också med konsumentskyddsfrågor. Detta sades tala för att eventuellt välja eller möjligen som tillstånds- och tillsynsmyndighet enligt lagen.10 Framför allt övervägdes som tillstånds- och tillsynsmyndighet, eftersom kreditupplysningsverksamheten ansågs ha ett påtagligt samband med kreditbedömning och annan finansiell verksamhet. kunskaper om kreditinstitutens speci- ella problem och om kreditmarknaden i stort ansågs vara av värde även i kreditupplysningssammanhang. Detta torde gälla även för inkasso- verksamhet över vilken utövar viss tillsyn. Vid remissförfarandet som föregick nämnda överväganden i prop. 1996/97:65 hävdade Datainspektionen att det med hänsyn till den starka ekonomiska anknytning som kreditupplysningsverksamhet har är mest lämpligt om ansvaret för all tillstånds- och tillsynsverksamhet låg hos . Integritetsintressena kunde, enligt Datainspek- tionen, bevakas och tillgodoses genom Datainspektionens kontroll- möjligheter enligt datalagen (numera personuppgiftslagen).11 Någon uttrycklig skyldighet för att värna om enskildas personliga integritet i kreditupplysnings- och inkasso- sammanhang finns inte enligt instruktionen eller i de lagar till vilka den hänvisar. Vid kreditupplysningslagens tillkomst påpekade dock departementschefen att den tillsyn som utövades av Bankinspektionen (numera ) var av betydelse för de aktuella kredit- inrättningarnas kreditupplysningsverksamhet och han framhöll därvid att även om denna tillsyn i första hand var inriktad på att se till att 1974:42 s. 96. 1996/97:65 s. 36 f. 1996/97:65 s. 36. SOU 2002:2 Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet 197 insättarnas intressen togs till vara, den också torde innebära en viss garanti för värnandet av låntagares och kreditsökandes personliga integritet.12 Det uppdelade ansvaret för tillsyn inom inkassoområdet har, bl.a. på grund av att de två myndigheterna Datainspektionen och Finans- inspektionen har två helt olika grundläggande målsättningar för sin verksamhet, fått till följd att det är stora skillnader mellan hur tillsynsverksamheten bedrivs i praktiken. Datainspektionen utreder i princip varje klagomål och andra ärenden enligt lagen i särskild ordning. , vars verksamhet syftar till stabilitet på finansmarknaden, låter i stället ärendena enligt inkassolagen hand- läggas tillsammans med inspektionens övriga tillsynsärenden. Inkasso- frågorna får härigenom jämförelsevis betydligt mindre genomslag i tillsynsverksamhet. Detta talar för att ansvaret för tillstånd och tillsyn enligt inkasso- lagen bör läggas på en och samma myndighet. Vad som särskilt talar för att är en lämplig myndighet att ta över uppgifterna enligt de båda lagarna är att myndigheten har särskilda kunskaper om kreditinstituten och kredit- marknaden i stort. Särskilt kreditupplysningsverksamhet har ett påtag- ligt samband med kreditbedömning och annan finansiell verksamhet, men detta gäller även för inkassoverksamhet. Såväl kreditupplysningslagen som inkassolagen har vidare ett tyd- ligt inslag av konsumentskydd. Även mot bakgrund härav kan Finans- inspektionen ses som en lämplig myndighet, eftersom Finansinspek- tionen har som särskild uppgift att verka för ett gott konsumentskydd. samarbetar för övrigt med t.ex. inom ramen för Konsumenternas bank- och . Lagtekniskt ser utredningen inte något hinder mot att föra över ansvaret för tillstånd och tillsyn enligt såväl kreditupplysningslagen som inkassolagen från Datainspektionen till . Det bör vidare vara möjligt att flytta ansvaret för lagstiftningsfrågor som rör kreditupplysnings- och inkassolagarna från , där det ligger , till . Viss del av ansvaret för kreditupplysnings- och inkassoverksam- heten vilar som sagts på . Med hänsyn härtill skulle en överföring, förutom en renodling av Datainspektionens verksamhet, även innebära en koncentration av ansvaret för tillstånd och tillsyn inom området till en myndighet, vilket torde innebära ett mer effektivt resursutnyttjande. 1973:155 s. 125. 198 Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet SOU 2002:2 Härigenom skulle också befogenheten att ingripa med åtgärder för att åstadkomma rättelse m.m. samlas hos en och samma myndighet, vilket kan antas leda till en mer enhetlig rättstillämpning. är enligt förordningen (1995:868) med instruktion för central förvaltningsmyndighet för konsument- frågor med huvudansvar för att genomföra den statliga konsu- mentpolitiken. Övergripande mål för verksamheten skall vara att ge hushållen goda möjligheter att utnyttja sina ekonomiska och andra resurser effektivt, att ge konsumenterna en stark ställning på marknaden, att skydda konsumenternas hälsa och säkerhet och att medverka till att sådana produktions- och konsumtionsmönster utveck- las som minskar påfrestningarna på miljön och bidrar till en långsiktigt hållbar utveckling. 2000/01:135 framhåller regeringen att som mål för konsumentpolitiken skall därutöver gälla att konsumenterna har tillgång till god vägledning, information och utbildning, det s.k. kunskapsmålet. skall särskilt inrikta sin verksamhet på åtgärder som rör hushållens baskonsumtion, stöd till konsument- grupper som av sociala, ekonomiska eller andra skäl är utsatta och att främja konsumentintressena i det internationella samarbetet. har inte som primär uppgift att bevaka den per- sonliga integriteten och finansiell verksamhet, även om myndigheten till följd av sin konsumentskyddande verksamhet har viss erfarenhet av att arbeta med dessa frågor. sysslar inte heller med tillståndsgivning i någon form. Dessa omständigheter talar mot att till- stånds- och tillsynsuppgifterna enligt kreditupplysnings- och inkasso- lagarna tas över av . För som lämplig myndighet talar i realiteten endast kreditupplysnings- och inkassolagarnas konsumentskyddande funktion. Det kan vidare övervägas om , som i sin verksamhet främst genom kronofogdemyndigheterna har kontakt med kreditupp- lysnings- och inkassoverksamhet, kan vara en lämplig myndighet för uppgifterna. är chefsmyndighet inom exekutionsväsendet, i vilket kronofogdemyndigheterna ingår. SOU 2002:2 Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet 199 verksamhet med omfattande upplysningsservice enligt offentlighets- principen och med indrivning, har likheter med kreditupplysnings- och inkassoverksamhet. Detta förhållande kan möjligen tala för att Riks- skatteverket/kronofogdemyndigheterna bör handha tillståndsprövning och utöva tillsyn enligt kreditupplysnings- och inkassolagarna. Å andra sidan kan det uppfattas som stötande att en myndighet, som själv sysslar med liknande verksamhet som skall övervakas skall vara ansvarig för tillsynen inom området. Dessutom inhämtar kreditupp- lysnings- och inkassoföretagen ett stort antal uppgifter från exekutions- väsendet. Enligt utredningens mening innebär detta att det är olämpligt att /kronofogdemyndigheterna tar över uppgifter enligt kreditupplysnings- och inkassolagarna. Vid en samlad bedömning anser utredningen att övervägande skäl talar för att tillstånds- och tillsynsuppgifterna enligt kreditupplysnings- och inkassolagarna bör flyttas över till . Såväl kreditupplysnings- som inkassoverksamhet har ett påtagligt samband med kreditbedömning och annan finansiell verksamhet. kunskaper om kreditinstitutens speciella problem och om kreditmarknaden i sin helhet kan här vara av stort värde. har området också samband med konsumentskyddsfrågor där med sitt särskilda ansvar för konsumentskydd kan fylla en viktig uppgift. De omständigheter som tidigare talat starkt för Datainspektionen äger inte längre samma bäring. Det är inte bara inom kreditupplysnings- och inkassoområdena som det finns ett inslag av skydd för den personliga integriteten i lagstift- ningen. Detsamma gäller inom flera andra områden utan att det ansetts nödvändigt att Datainspektionen skall ha ett exklusivt ansvar för tillsynen. Datainspektionen kan ändå på ett ändamålsenligt sätt utföra sin uppgift enligt personuppgiftslagen att övervaka skyddet för den personliga integriteten vid behandling av personuppgifter inom det aktuella området. Att Datainspektionen har lång erfarenhet och stor sakkunskap på området är naturligt, men bör inte tillmätas någon avgörande betydelse. En sådan omständighet hindrar alltid en angelägen renodling av verksamheten för en myndighet som har flera uppgifter, oavsett vilket område det är frågan om. Som en följd av datorteknikens utbredning kan Datainspektionen inte längre anses ha sådan särskild sakkunskap inom dataområdet som 200 Tillstånd och tillsyn inom kreditupplysnings- och inkassoverksamhet SOU 2002:2 skiljer sig markant från andra myndigheters. Flera myndigheter måste för sin verksamhet ha mycket goda kunskaper och kvalificerad personal vad gäller informationsteknik. Detta torde särskilt gälla Finansinspek- tionen som har tillsynsansvar över det branschområde som kanske kommit längst vad gäller användningen av informationsteknik i sin verksamhet. Erfarenheterna av det delade ansvaret för tillsyn inom inkassoområdet visar tydliga skillnader i den tillsynsverksamhet som kan komma att bedrivas när ansvaret är uppdelat mellan två myndig- heter som har olika utgångspunkter för sin verksamhet. Att samla ansvaret hos en myndighet kan leda till ett effektivare tillvaratagande av resurserna och en mer enhetlig tillämpning av ansvar och befogen- heter som tillsynsmyndighet. Genom att ansvaret för tillstånd och tillsyn inom det aktuella området flyttas över till åstadkommer man en viktig renodling av Datainspektionens verksamhet. Härigenom tydliggörs också Datainspektionens generella ansvar för skyddet för den personliga integriteten inom samhällets alla områden. I kapitel 13 presenterar utredningen en modell för avgifts- finansiering av tillstånds- och tillsynsverksamheten enligt kreditupp- lysnings- och inkassolagarna. Om en sådan avgiftsfinansiering av verksamheten genomförs i samband med att uppgifterna flyttas över till kan detta medföra en resursförstärkning för Datainspektionen utan att medel behöver tillföras myndigheten. Den personal som arbetar med kreditupplysnings- och inkasso- verksamhet (ca 2,5 årsarbetskrafter) kan i stället ägna sig åt bl.a. inspektionsinsatser enligt personuppgiftslagen. För innebär avgiftsmodellen en finansiering motsvarande den som gäller för myndighetens övriga verksamhet, vilken också är avgifts- finansierad. behöver således inte tillföras resurser som tas från skattemedel. Sammanfattningsvis ger en överflyttning av de aktuella uppgifterna Datainspektionen ökade resurser för information och inspektion enligt personuppgiftslagen samt möjlighet att koncentrera sin verksamhet till dessa huvuduppgifter och på så sätt förbättra skyddet för den person- liga integriteten vid behandling av personuppgifter. Integritetsskydd genom olika former av självreglering 201 11Integritetsskydd genom olika former av självreglering För att förstärka integritetsskyddet i samhället i samband med behandling av personuppgifter bör Datainspektionen mer aktivt stimulera till olika former av självreglering. Frågor om självreglering bör rutinmässigt väckas i samband med myndighetens inspektionsverksamhet. Systemet med personuppgiftsombud bör i enlighet med person- uppgiftslagens intentioner kraftfullt utnyttjas för att decentralisera ansvaret för skyddet för den personliga integriteten vid behandling av personuppgifter. Ett ändamålsenligt utnyttjande av personuppgiftsombud bör möjliggöra för Datainspektionen att effektivisera sin tillsynsverk- samhet vad gäller inriktning och omfattning, genom att inspektionen därigenom kan sätta in insatser inom de områden där självreglering inte är lämplig och där särskilt känsliga personuppgifter behandlas. Alla möjligheter till att decentralisera ansvaret för skyddet för den personliga integriteten genom att stimulera fristående aktörer att kontrollera behandlingen av personuppgifter bör utnyttjas. Utbyggd självreglering och en allt större användning av systemet med person- uppgiftsombud bör kunna leda till att Datainspektionens personalresurser kan minskas. 11.1Datainspektionens ansvar för självreglering Enligt direktiven skall utredningen analysera möjligheterna för Datainspektionen att mera aktivt stimulera utvecklingen av olika former av självreglering, bl.a. branschöverenskommelser, för att skydda den personliga integriteten framför allt i anslutning till den kraftigt ökande användningen av Internet. Det framhålls i direktiven att en sådan självreglering utgör ett värdefullt komplement till personuppgiftslagen och kan bidra till ett förstärkt integritetsskydd. 202 Integritetsskydd genom olika former av självreglering Datainspektionen skall enligt 15 § personuppgiftsförordningen, på begäran av en organisation som företräder en väsentlig del av de personuppgiftsansvariga inom en viss bransch eller inom ett visst område, avge yttrande över förslag till branschöverenskommelser vad avser behandling av personuppgifter inom branschen eller området. Yttrandet skall avse branschöverenskommelsens förenlighet med personuppgiftslagen och andra författningar som reglerar den behand- ling av personuppgifter det är frågan om. Inspektionen skall innan den avger yttrande – om det är lämpligt – se till att organisationer som företräder de registrerade har fått tillfälle att yttra sig över förslagen. I Datainspektionens rapport tillsyn som utarbetades framhålls följande under rubriken . Genom kontakter med personer hos de registeransvariga har det framgått att det ibland råder oklarhet om hur datalagens regler skall tolkas i praktiken. Genom att i förväg definiera hur hanteringen av personregister skall eller bör gå till bildas en konkret utgångspunkt för utveckling av system och program. Datainspektionen skulle med ett sådant normgivningsbemyndigande som aviserats av regeringen (i prop. 1993/94:116) kunna utarbeta normer för hur personregister skall hanteras inom olika branscher. Datainspektionen bör då prioritera branscher där man kan tänka sig att integritetskänsliga personregister återfinns. Normerna utarbetas med fördel i samarbete med företrädare för branschen. 1993/94:116 föreslogs att Datainspektionens tillståndspröv- ning skulle minskas genom att inspektionen gavs möjlighet att utfärda generella bransch- och sektorsföreskrifter, och regler med denna innebörd togs in i regeringsformen och datalagen. Datainspektionen har även i andra sammanhang framhållit vikten av självreglering. I verksamhetsplanen för Datainspektionens tekniska enhet /95 uttalades följande. Tekniska enheten skall aktivt delta i projekt som syftar till utformning av generella branschföreskrifter.