sou · H4B341 · 2016-06-07 00:00:00 — Det föreligger vissa risker för den personliga integriteten på grund av behandling av personuppgifter i inkassobolagens verk- samhet. I verksamhet liksom i samband med kreditupplysnings - och inkassoverksamhet behandlas uppgifter om enskildas personliga och ekonomiska förhållanden. Sådana uppgifter betraktas i allmänhet som integritetskänsliga. Behandlingen genom- förs i stor utsträckning med hjälp av informationsteknik. 16.2.1Allmänt om behandling av personuppgifter ansvarar för mål om betalningsföreläg- gande och handräckning, verkställighet och indrivning, skuldsane- ring samt tillsyn i konkurs m.m. verksamhet, kreditupplysning och inkasso Mål om betalningsföreläggande och handräckning handlar i huvudsak om att en sökande försöker få en skuld, eller ett annat anspråk, fastställd i formell mening, dvs. genom ett särskilt beslut. Det kan exempelvis handla om att motparten ska åläggas att betala en skuld, återlämna viss egendom eller flytta från en lägenhet. Ett sådant beslut krävs i många fall för att sökanden ska kunna få hjälp med indrivning eller verkställighet av sitt anspråk. De uppgifter som behandlar i dessa mål inkluderar uppgifter om fysiska personers identitet, bostadsadresser och anställning, men även uppgifter om den aktuella tvisten och i vissa fall även tidigare tvister mellan parterna (vilket i vissa fall kan inkludera lagöverträdel- ser som innefattar brott, eller domar i brottmål). Behandlingen av uppgifter görs till stor del i en databas som benämns betalningsföre- läggande- och handräckningsdatabasen. Uppgifter ur denna databas lämnas regelbundet ut till vissa kreditupplysningsföretag. Utlämnan det görs i viss utsträckning genom elektronisk överföring. Även parterna i målet kan i viss utsträckning erhålla uppgifter elektroniskt. Mål och ärenden om verkställighet eller indrivning handlar i huvudsak om att en sökande vill ha hjälp att få betalt av motparten, eller att denne ska tvingas att göra något annat. Det kan t.ex. handla om att det ska göras en utmätning av lön, att viss egendom ska häm- tas hos motparten eller säljas, eller att en hyresgäst ska vräkas. I dessa mål och ärenden behandlar bl.a. uppgifter om fysiska personers identitet, bostadsadresser, familje- och ekono- miska förhållanden samt uppgifter om den bakomliggande tvisten (vilket i vissa fall kan inkludera lagöverträdelser som innefattar brott, eller domar i brottmål). Denna behandling av uppgifter genomförs till stor del i en databas som benämns utsöknings- och indrivnings- databasen. Uppgifter ur databasen överförs i viss utsträckning elek- troniskt till och andra myndigheter, exempelvis till och länsstyrelserna. Elektronisk överföring görs i viss utsträckning även till vissa kreditupplysnings- och inkassoföre- tag samt – i mycket begränsad omfattning – till parterna i målet eller ärendet. Ärenden om skuldsanering handlar i huvudsak om ifall en fysisk person, som är på obestånd och så skuldsatt att han eller hon inte kan antas ha förmåga att betala sina skulder inom överskådlig tid, helt eller delvis ska befrias från skyldigheten att betala sina skulder. I dessa ärenden behandlar bl.a. uppgifter verksamhet, kreditupplysning och inkasso om fysiska personers identitet, bostadsadresser, familjeförhållanden och ekonomiska förhållanden, inklusive uppgifter om de aktuella skulderna (vilket i vissa fall kan inkludera lagöverträdelser som inne- fattar brott, eller domar i brottmål). Denna behandling av uppgifter utförs till stor del i en databas som benämns skuldsaneringsdatabasen. I ärenden om tillsyn i konkurs, inklusive tillsyn över lönegaranti och företagsrekonstruktion med mera, behandlar Kronofogde myndigheten uppgifter om fysiska personer, exempelvis konkurs- förvaltares och konkursbons identitet samt uppgifter om domstols- avgöranden och åtgärder i ärendena. Databasen får även tillföras vissa andra uppgifter, men det är inte så vanligt förekommande. Personuppgifter behandlas elektroniskt i en databas, som benämns konkurstillsynsdatabasen. Myndighetens behandling av personuppgifter regleras framför allt i lagen (2001:184) om behandling av uppgifter i Kronofogde myndighetens verksamhet och i förordningen (2001:590) om behandling av uppgifter i verksamhet. Lagen om behandling av uppgifter i verksamhet innehåller bl.a. bestämmelser om vilka uppgifter som myndigheten får ha i sina databaser och hur uppgifterna får hanteras där. Regleringen överensstämmer i vissa avseenden med motsvarande reglering i personuppgiftslagen (1998:204), men det finns även skill- nader. En sådan skillnad är att enligt huvudregeln inte får lämna ut uppgifter till enskilda i digital form. I den mån sådana utlämnanden är tillåtna, exempelvis till godkända kreditupplysnings- och inkassoföretag samt andra myndigheter, krävs att utlämnandet görs på ett sätt som säkerställer att uppgifterna under översändandet inte blir förstörda eller förvanskade eller till- gängliga för andra än dem som de ska skickas till. Av betydelse i detta sammanhang är även bestämmelserna i 2 kap. tryckfrihetsförordningen samt 34 kap. offentlighets- och sekretes- slagen (2009:400). Offentlighetsprincipen innebär att Kronofogde myndigheten är skyldig att lämna ut allmänna handlingar till den som begär det, om inte sekretess gäller för uppgifterna i handlingen. Hos myndigheten gäller sekretess för uppgifter om en enskilds verksamhet, kreditupplysning och inkasso personliga eller ekonomiska förhållanden, men sekretessen varierar i styrka. Den är t.ex. starkare i ärenden om utsökning och indrivning än i ärenden om skuldsanering eller om tillsyn i konkurs. Det finns dessutom vissa undantag från sekretessen. Sekretess gäller t.ex. inte för uppgift om den förpliktelse som avses med den sökta verkstäl- ligheten i ett pågående mål och inte heller för beslutet i målet eller ärendet. Uppgift om en förpliktelse i ett avslutat mål omfattas inte heller av sekretess om den enskilde har ytterligare mål eller ärende registrerat hos och uppgiften inte är äldre än (den s.k. tvåårsregeln). Datainspektionen är tillsynsmyndighet enligt personuppgiftslagen och har i uppgift att värna skyddet för enskildas personliga integritet vid behandling av personuppgifter. Vidare utövar ombudsmän () tillsyn över statliga myndig- heter – däribland – och ska särskilt se till att grundläggande fri- och rättigheterna inte kränks i den offentliga verksamheten. Även Justitiekanslern () utövar tillsyn över och har bl.a. i uppgift att värna integriteten samt rättssäkerheten i den offentliga verksamheten. 16.2.4Risker för den personliga integriteten Frånatttidigarehavaritfleramyndigheter,ärKronofogdemyndigheten numera en myndighet. En stor mängd uppgifter om enskildas per- sonliga och ekonomiska förhållanden behandlas hos myndigheten inom ramen för dess olika verksamhetsgrenar. Myndigheten samlar bl.a. in en stor mängd uppgifter om gäldenärernas personliga förhål- landen för att utreda om de har några utmätningsbara tillgångar. Denna kartläggning görs numera med stor precision. Även om alla uppgifter inte är speciellt känsliga om de bedöms var för sig, kan de sammantaget ge en helhetsbild av en enskild som kan upplevas som närgången och integritetskränkande. verksamhet, kreditupplysning och inkasso Det är därför viktigt att myndigheten begränsar den interna åtkomsten till uppgifterna på lämpligt sätt. En grundläggande prin- cip är att anställda inom en myndighet endast bör ha elektronisk tillgång till personuppgifter som de behöver för att utföra sitt arbete. Detta gäller även om uppgifterna är offentliga. Datainspektionen förelade i ett beslut att komma in med en åtgärdsplan om hur myndig- heten avser att utföra systematiska och återkommande logguppfölj- ningar att upptäcka och beivra obehörig åtkomst av personuppgifter i verksamhetssystem. Av beslutet framgår att Datainspektionen gjorde bedömningen att myndighetens behö- righetstilldelning i övrigt höll god kvalitet, avseende såväl tekniska aspekter som rutiner. En annan viktig del i skyddet för den personliga integriteten är den sekretess som gäller hos myndigheten. För att arbetet ska kunna bedrivas på ett ändamålsenligt sätt behöver skaffa sig uppgifter från andra myndigheter som ger underlag för att bedöma en gäldenärs betalningsförmåga. Det kan röra sig om vitt skilda slag av uppgifter, som uppgifter från deklarationshandlingar eller uppgifter om anstaltsvistelser, arbetslöshet och sjukdomar. Uppgifter inhämtas i viss utsträckning även från gäldenären själv. Oavsett ursprung omfattas uppgifterna ofta av sekretess hos . Myndighetens beslut omfattas dock inte av sekretess. I bl.a. mål och ärenden om utsökning eller indrivning gäller inte heller sekretess för uppgift om den förpliktelse som ansö- kan gäller om målet eller ärendet fortfarande pågår eller – om det har avslutats – verkställighet för någon annan förpliktelse söks eller om verkställighet tidigare sökts och uppgiften inte är äldre än . presenterades ett förslag att begränsa nämnda undantag från sekretess för vissa avslutade ärenden (den så kallade tvåårsregeln).2 Frågan bereds i Regeringskansliet.3 Av offentlighetsprincipen följer att var och en rätt har rätt att ta del av uppgifter i databaser som inte är sekretessbelagda. Utlämnande av sådana uppgifter görs enligt huvudregeln i pappersform eller muntligen. För utlämnande till kre- 1 Dnr 1755-2008. 2 Tillförlitligare kreditupplysningar – ett förbättrat integritetsskydd vid offentligrättsliga krav, Ds 2014:60 s. 84 f. 3 Ju 2014/5532/L2. verksamhet, kreditupplysning och inkasso ditupplysningsföretagen, som har stort behov av uppgifterna, har dock en elektronisk tjänst. Genom denna tjänst får kreditupplysningsföretag som har tillstånd för sin verk- samhet daglig information om förändringar i utsöknings- och indriv- ningsdatabaserna samt om gäldenärernas totala skuldsaldo. Den information som kreditupplysningsföretagen får del av är bl.a. upp- gifter om nya mål och uppgifter om upprättade utredningsrapporter. En utredningsrapport är en sammanställning som Kronofogde myndighetens gör när myndigheten har utrett en ansökan om verk- ställighet och därefter kommit fram till att gäldenären inte har till- gångarsomräckerförattbetalahelaskulden.Avutredningsrapporterna framgår registrerade åtgärder, bl.a. vilka register som kontrollerats, vilka förrättningar som vidtagits, om tillgångar har hittats eller inte och om dessa i så fall har något utmätningsbart värde. Med hänsyn till innehållet i databaserna är det givetvis viktigt att tillgången till uppgifterna är begränsad och inte missbrukas. Kreditgivare behöver underlag för att kunna bedöma om en person ska beviljas kredit. För att förenkla kreditgivningen finns kreditupp- lysningsföretag som förser kreditgivarna med kreditupplysningar, dvs. med uppgifter, omdömen och råd av betydelse för att kunna bedöma risken för framtida betalningsförsummelser och kreditför- luster. Kreditupplysningsföretagen samlar in uppgifter om enskilda per- soners ekonomiska och personliga förhållanden samt om företags ekonomiska förhållanden. Alla personer finns registrerade hos de största kreditupplysningsföretagen. Uppgifterna hämtas huvudsakligen från myndigheter. Typiskt sett registreras identitets- uppgifter – t.ex. namn, personnummer och adress – som hämtas från Statens personadressregister (SPAR), samt uppgifter om inkomst och innehav av fastighet som hämtas från skatteregis- ter och fastighetstaxeringsregister. Vidare registreras uppgifter om betalningsanmärkningar, t.ex. utslag i mål om betalningsföreläg- gande, restförda skatter och avgifter eller misslyckade utmätnings- verksamhet, kreditupplysning och inkasso Dessa uppgifter hämtas från . För juridiska personer, näringsidkare och näringsanknutna personer hämtas även vissa uppgifter från aktiebolagsregistret och handels- och föreningsregistret hos samt från det allmänna företagsregistret () hos . De upplysningar som kreditupplysningsföretagen i sin tur lämnar till kreditgivarna (kreditupplysningen) består främst av ekonomisk information, såsom uppgifter om sökandens inkomster, fastighets- innehav och betalningsförsummelser. Även andra personliga upp gifter kan lämnas, t.ex. fakta som ålder eller civilstånd. Även omdö- men och råd kan – som tidigare nämnts – lämnas som ledning för en ekonomisk bedömning. lämnas kreditupplysningarna huvudsakligen genom att kreditgivarna har en uppkoppling mot kreditupplysningsföretagets register/databas på internet. Kreditupplysningar kan också lämnas på annat sätt, t.ex. i tryckta skrifter, på cd-skivor eller på usb-minnen. Kreditupplysningsverksamhet regleras i första hand i kreditupplys- ningslagen (1973:1173). Den lagen är enligt huvudregeln tillämplig dels när någon lämnar kreditupplysningar mot ersättning eller som ett led i näringsverksamhet, dels vid annan kreditupplysningsverk- samhet som är av större omfattning. Lagen syftar i första hand till att skydda de registrerades person- liga integritet, men är även avsedd att bidra till en effektivt fungerande kreditupplysningsverksamhet. Den innehåller bl.a. ett generellt krav på att kreditupplysningsverksamhet ska bedrivas så att den inte leder till otillbörligt intrång i den personliga integriteten genom innehållet i de upplysningar som förmedlas eller på annat sätt. Uppgifter om privatpersoner får enligt lagen bara lämnas ut om det finns legitimt behov. Det kan t.ex. vara nödvändigt med en kreditprövning när ett kreditavtal ska ingås eller i andra situationer då en ekonomisk riskbedömning behöver göras, t.ex. i borgens-, anställnings- eller hyressammanhang.4 4 Regeringens proposition Ett starkare skydd för den enskildes integritet vid kreditupplysning, prop. 1973:155 s. 148. verksamhet, kreditupplysning och inkasso För att säkerställa att upplysningar från kreditupplysningsregister är aktuella innehåller lagen bestämmelser om när uppgifter inte längre får användas och ska tas bort, dvs. Som exempel kan nämnas att uppgifter om privatpersoners betalningsanmärkningar ska gallras senast efter den dag då anmärkningen tillkom och uppgifter om skuldsanering . När en kreditupplysning om en fysisk person lämnas ut ska personen få ett skriftligt meddelande om detta – i regel en kopia av upplysningen – för att kunna kontrollera att informationen som lämnats är korrekt. Om en uppgift i ett register visar sig vara oriktig eller missvisande eller har behandlats i strid med kreditupplysningslagen, ska kredit- upplysningsföretaget som huvudregel sända en rättelse eller kom- plettering till var och en som under den senaste tolvmånadersperio- den fått del av uppgiften. I kreditupplysningslagen finns även bestämmelser om straff för brott mot vissa av lagens bestämmelser, bl.a. i fråga om utlämnande av kreditupplysning utan att det finns ett legitimt behov eller om någon bedriver kreditupplysningsverksamhet utan att ha rätt till det. Vidare kan ett kreditupplysningsföretag under vissa förutsättningar bli skadeståndsskyldigt för skador som det tillfogar någon i sin verk- samhet genom otillbörligt intrång i den skadelidandes personliga integritet eller genom att oriktig uppgift lämnas om personen. Enligt kreditupplysningslagen gäller tystnadsplikt för den som är eller har varit verksam i kreditupplysningsverksamhet avseende uppgifter om enskildas personliga förhållanden eller om yrkes- eller affärshemlighet. Personuppgiftslagen ska inte tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen (7 § per- sonuppgiftslagen). Enligt 1 kap. 9 § yttrandefrihetsgrundlagen ska grundlagens regler om radioprogram även tillämpas på sådana data- baser som tillhandahålls av s.k. massmedieföretag och på sådana databaser för vilka utgivningsbevis gäller. Utgivningsbeviset innebär således att databasen omfattas av det särskilda skydd för yttrandefri- heten som anges i yttrandefrihetsgrundslagen. Enligt censurförbudet i 1 kap. 3 § yttrandefrihetsgrundlagen är det inte tillåtet för myndig- heter och andra allmänna organ att utan stöd i yttrandefrihetsgrund- verksamhet, kreditupplysning och inkasso lagen, på grund av det kända eller väntade innehållet i ett radiopro- gram eller en teknisk upptagning, förbjuda eller hindra dess offentliggörande eller spridning bland allmänheten. Under vissa förutsättningar blir kreditupplysningslagens skydds- regler inte tillämpliga när kreditupplysningar lämnas ut på en teknisk upptagning. Regler om utlämnandet finns i såväl yttrandefrihets- grundlagen som kreditupplysningslagen. Med teknisk upptagning avses upptagningar som innehåller text, bild eller ljud och som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. Exempel på sådana tekniska upptagningar är usb-minne, cd- och dvd-skiva. Innebörden av dessa undantag i kreditupplys- ningslagen är att kravet på att det ska finnas ett legitimt behov av kreditupplysningen hos beställaren faller bort. Vidare gäller inte heller kravet på kreditupplysningskopia. Undantag gäller också för skyldigheten att sända en rättelse eller komplettering till var och en som har mottagit en upplysning med en oriktig eller missvisande uppgift eller en uppgift som har behandlats i strid med lagen. Även det åtföljande straffansvaret bortfaller. Regleringen i kreditupplysningslagen kompletteras av vissa gene- rella krav i personuppgiftslagen, bl.a. skyldigheten att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personupp- gifter som behandlas. Personuppgiftslagens bestämmelser gäller alltså även vid kreditupplysning, om frågan inte är särskilt reglerad i exempelvis kreditupplysningslagen. Se närmare om personupp- giftslagen i kapitel 6 Den grundläggande rättsliga regleringen. För att bedriva kreditupplysningsverksamhet krävs normalt tillstånd från Datainspektionen. Det krävs även medgivande från Datainspektionen för att få överlåta eller upplåta register som används i kreditupplysningsverksamhet. Datainspektionen utövar dessutom tillsyn över att kreditupplysningslagen och personupp- giftslagen följs. verksamhet, kreditupplysning och inkasso 16.3.4Risker för den personliga integriteten Uppgifter som ingår i kreditupplysningar är ofta av känslig karaktär och kan utnyttjas till men för den enskilde. är det en förut- sättning för en fungerande kreditmarknad att kreditgivare har till- gång till ett bra underlag som gör det möjligt att bedöma risken för kreditförluster. I detta ligger också att kreditupplysningen måste fungera effektivt. och lagring av uppgifter Det finns en risk att kreditupplysningsföretag samlar in, eller önskar samla in, uppgifter vars relevans för kreditbedömningen kan ifråga- sättas. Det förekommer t.ex. att kreditupplysningsföretag önskar samla in uppgifter om antalet mobilabonnemang som en person fått beviljat. Sådana uppgifter har i praxis inte ansetts uppfylla de krav på adekvans, relevans och proportionalitet som gäller för insamling av personuppgifter.5 Det finns också en risk att de uppgifter som behandlas inte är korrekta och aktuella. Det är därför viktigt att kreditupplysningsfö- retagen uppfyller sin skyldighet att utreda om en uppgift som behandlas eller lämnats i kreditupplysning är oriktig eller missvis- ande, om det finns anledning att misstänka att så är fallet. Det är även viktigt att uppgifter i register som visar sig vara oriktiga eller missvis- ande rättas, kompletteras eller utesluts ur registret. Om ett företag inte rättar uppgifterna frivilligt kan det föreläggas att göra detta. I praxis har det bl.a. förekommit att ett kreditupplysningsföretag har förelagts att ta bort en uppgift om en ansökan om konkurs, på grund av att den aktuella ansökan inte ansågs ha varit allvarligt menad och därför var missvisande i kreditupplysningslagens mening.6 Registren omfattar ofta en väsentlig del av befolkning, vilket i sig innebär särskilda risker. Det är dessutom fråga om en sam- manställning och kartläggning av enskilda personer, vilket är att betrakta som känslig information. Kreditupplysningsverksamhet omgärdas av tystnadsplikt och det är inte tänkt att andra än den som 5 Kammarrättens i dom i mål nr 3148-14. 6 Förvaltningsrättens i dom i mål nr 3013-15. verksamhet, kreditupplysning och inkasso har ett legitimt behov ska kunna ta del av uppgifterna. Om någon skaffar sig obehörig åtkomst till registret är många människor expo- nerade för att deras uppgifter sprids. Det är därför viktigt att uppgif- terna skyddas på ett betryggande sätt. Datainspektionen har i olika sammanhang betonat att det ställs höga krav på säkerhet när det gäller denna typ av uppgifter, se bl.a. nedan angående stark autentisering. Kreditupplysningsföretagens utlämnande av uppgifter De uppgifter om enskildas personliga och ekonomiska förhållanden som kreditupplysningsföretagen hanterar är ofta av känslig natur. Det gäller särskilt när uppgifterna sammanställs och lagras på det sätt som ofta görs i kreditupplysningsföretagens databaser. Oönskad spridning av uppgifterna kan därför få stora negativa konsekvenser för enskildas personliga integritet. Med undantag för vissa offentliggöranden enligt tryckfrihetsför- ordningen och yttrandefrihetsgrundlagen, får kreditupplysningar om fysiska personer, som inte är näringsidkare inte lämnas ut om det finns anledning att anta att upplysningen kommer att användas av någon annan än den som på grund av ett ingånget eller ifrågasatt kreditavtal eller av någon liknande anledning har behov av upplys- ningen. För att säkerställa att detta förbud följs är det är av stor vikt att kreditupplysningsföretagen alltid kontrollerar att beställaren av uppgifter har ett sådant legitimt behov av uppgifterna. Det finns exempel på att kreditupplysningsföretag har lämnat ut ett stort antal kreditupplysningar utan att vare sig vid ingående av kundavtalet eller i samband med själva utlämnandet ha kontrollerat om mottagaren kan antas ha ett legitimt behov av personupplys- ningar. Ett sådant utlämnande anses strida mot nämnda förbud. Ett kreditupplysningsföretag kan alltså inte uppfylla kravet på kontroll genom att exempelvis endast ta in bestämmelser i sina avtal som anger dels att kunden endast får beställa uppgifter när denne har ett legitimt behov av dem, dels att det är kundens ansvar att se till att detta krav är uppfyllt.7 Det har till och med inträffat att kreditupplysningar har lämnats ut utan att kreditupplysningsföretaget alls har beaktat kravet på legitimt behov, på grund av att företaget har trott att det kravet inte 7 Datainspektionens beslut , dnr 183-2014. verksamhet, kreditupplysning och inkasso gäller för dess verksamhet.8 Det går inte att undgå kreditupplys- ningslagens skyddsregler genom att exempelvis lämna ut uppgifter om hur en enskild persons inkomst förhåller sig till andra personers inkomster, i stället för att ange inkomsten i exakta tal.9 Det finns dock företag som begränsar den information som lämnas ut på andra sätt, för att undvika en tillämpning av skyddsreglerna. Om ett sådant företag har ett utgivningsbevis gäller inte heller personuppgiftslagens skyddsregler. Personuppgiftslagen gäller inte då personuppgifter publiceras på webbplatser som omfattas av yttrandefrihetsgrundlagen. Om utlämnandet av kreditupplysningar görs via internet finns dessutom en risk att obehöriga får tillgång till uppgifter och att upp- gifterna därefter får stor spridning på internet. Ett utlämnande av känsliga uppgifter via öppet nät, exempelvis internet, får därför endast göras om mottagarens identitet är säkerställd med stark autentisering, t.ex. e-legitimation eller vissa lösningar med engångs- lösenord eller motsvarande. För att uppfylla kraven på säkerhetsåt- gärder enligt 31 § personuppgiftslagen anses det alltså inte vara till- räckligt att använda autentisering med enbart användarnamn och lösenord.10 En annan viktig del i integritetsskyddet är kravet att en kredit- upplysningskopia ska lämnas till den som upplysningarna avser.