Redogörelse för tillsynsärendet Datainspektionen har uppmärksammat att kreditupplysningar publiceras på bl.a. följande webbplatser:

Transkript

1 Beslut Dnr Advokatfirman Lindahl KB Att: Lars B Melin Box GÖTEBORG Ombud för: Business Check i Sverige AB Tillsyn enligt kreditupplysningslagen (1973:1173) Datainspektionens beslut Datainspektionen konstaterar att Business Check i Sverige AB handlar i strid med 9 kreditupplysningslagen genom att lämna ut kreditupplysningar på webbplatsen om fysiska personer som inte är näringsidkare trots att det finns anledning att anta att upplysningen kommer att användas av någon annan än den som på grund av ett ingånget eller ifrågasatt kreditavtal eller av någon liknande anledning har behov av upplysningen. Datainspektionen konstaterar vidare att Business Check i Sverige AB handlar i strid med 11 första och andra styckena kreditupplysningslagen genom att lämna ut kreditupplysningar på webbplatsen om fysiska personer, handelsbolag och kommanditbolag utan att tillställa de omfrågade en kreditupplysningskopia. Datainspektionen förelägger Business Check i Sverige AB att upphöra med att lämna ut kreditupplysningar på webbplatsen utan att beakta bestämmelserna om legitimt behov och kreditupplysningskopia i 9 och 11 kreditupplysningslagen. Redogörelse för tillsynsärendet Datainspektionen har uppmärksammat att kreditupplysningar publiceras på bl.a. följande webbplatser: På dessa webbplatser lämnas kreditupplysningar ut om fysiska personer som inte är näringsidkare trots att det finns anledning att anta att upplysningen kommer att användas av någon annan än den som på grund av ett ingånget eller ifrågasatt kreditavtal eller av någon liknande anledning har behov av upplysningen (s.k. legitimt behov). Postadress: Box 8114, STOCKHOLM E-post: datainspektionen@datainspektionen.se Besöksadress: Fleminggatan 14, plan 9 Telefon: Webbplats: Telefax:

2 2 (7) Kreditupplysningar lämnas ut om fysiska personer, handelsbolag och kommanditbolag utan att det till den som avses med upplysningen samtidigt och kostnadsfritt sänds ett skriftligt meddelande om de uppgifter, omdömen och råd som upplysningen innehåller rörande honom och om vem som begärt upplysningen (en s.k. kreditupplysningskopia). Dessa webbplatser drivs av olika återförsäljare till Business Check i Sverige AB (BC). Datainspektionen har inhämtat flera yttranden från BC och, i separata tillsynsärenden, återförsäljarna (Ratsit AB dnr och Notara Kreditupplysning AB dnr ). Av BC:s, och återförsäljarnas, yttranden har anförts bl.a. följande. Radio- och TV-verket (RTVV) utfärdade den 18 februari 2004 ett sådant frivilligt utgivningsbevis som sägs i 1 kap. 9 andra stycket yttrandefrihetsgrundlagen (YGL) till BC för databasen Webbplatsen drivs sedan den 23 november 2006 av BC:s återförsäljare Ratsit AB (Ratsit). På webbplatsen tillhandahålls kreditupplysningar (Personrapport Small, Medium och Large). Den kreditupplysningsinformation som lämnas ut på webbplatsen tillhandahålls av BC. Ratsit endast förmedlar kreditinformationen till slutkund. Ratsit har inte tillgång till och förfogar inte på något sätt över den av BC publicerade kreditupplysningsinformationen på webbplatsen Ratsit bedriver inte någon form av kreditupplysningsverksamhet på eget ansvar. RTVV utfärdade den 8 mars 2007 ett utgivningsbevis till Ratsit för databasen ratsit.se. BC är ansvarigt för den kreditupplysningsinformation som lämnas ut på den omodererade tjänst som tillhandahålls på webbplatsen på undersidan BC anser att utlämnandet av kreditupplysningsinformation som sker på denna del av webbplatsen omfattas av BC:s frivilliga utgivningsbevis för databasen Detta innebär enligt BC att kreditupplysningsverksamheten inte omfattas av bestämmelserna om legitimt behov och kreditupplysningskopia. Webbplatsen drivs sedan 2006 av BC:s återförsäljare Notara Kreditupplysning AB (Notara). På Webbplatsen förmedlas tjänsterna kreditupplysning och kreditbevakning. Den kreditupplysningsinformation som lämnas ut på webbplatsen tillhandahålls av BC. Notara endast förmedlar kreditinformationen till slutkund. Notara har inte tillgång till och förfogar inte på något sätt över den av BC publicerade kreditupplysningsinformationen på webbplatsen Notara bedriver inte någon form av kreditupplysningsverksamhet på eget ansvar. Notara saknar eget utgivningsbevis. BC är ansvarigt för den kreditupplysningsinformation som lämnas ut på webbplatsen BC anser att utlämnandet av kreditupplysningsinformation som sker på webbplatsen omfattas av BC:s frivilliga utgivningsbevis för databasen Detta innebär enligt BC

3 3 (7) att kreditupplysningsverksamheten inte omfattas av bestämmelserna om legitimt behov och kreditupplysningskopia. Skäl för beslutet Enligt 9 kreditupplysningslagen får inte kreditupplysningar om fysiska personer som inte är näringsidkare lämnas ut om det finns anledning att anta att upplysningen kommer att användas av någon annan än den som på grund av ett ingånget eller ifrågasatt kreditavtal eller av någon liknande anledning har behov av upplysningen. Vad som nu har sagts gäller inte offentliggörande av kreditupplysning på sådant sätt som avses i tryckfrihetsförordningen (TF) eller YGL. Det innebär att den som begär en personupplysning, d.v.s. en kreditupplysning om en privatperson, ska ha ett legitimt behov av den. Om personupplysningen lämnas ut med stöd av TF eller YGL behövs däremot inte något sådant legitimt behov. När en kreditupplysning lämnas ut om en fysisk person ska enligt 11 kreditupplysningslagen till den som avses med upplysningen samtidigt och kostnadsfritt sändas ett skriftligt meddelande om de uppgifter, omdömen och råd som upplysningen innehåller rörande honom och om vem som begärt upplysningen. Vad som nu har sagts gäller inte offentliggörande av kreditupplysning på sådant sätt som avses i TF eller YGL. Stadgandet i 11 kreditupplysningslagen innebär en rättighet för den omfrågade att ta del av de uppgifter, omdömen och råd som kreditupplysningen innehåller rörande honom. Om kreditupplysningen lämnas ut med stöd av TF eller YGL behöver kreditupplysningsföretaget inte sända någon sådan kreditupplysningskopia till den omfrågade. Som Datainspektionen förstår BC:s yttranden anser BC att dess kreditupplysningstjänster på webbplatserna och omfattas av grundlagskydd eftersom RTVV utfärdat ett utgivningsbevis för BC:s databas Av 1 kap. 1 och 9 YGL framgår att bl.a. den som har utgivningsbevis är gentemot det allmänna tillförsäkrad att offentligen uttrycka tankar, åsikter och känslor och i övrigt lämna uppgifter i vilket ämne som helst. Grundlagsskyddet innebär bl.a. att myndigheter inte får förhandsgranska eller försvåra publicering. Av 1 kap. 5 YGL framgår att den som skall döma över missbruk av yttrandefriheten eller på annat sätt vaka över att YGL efterlevs bör betänka att yttrandefriheten är en grundval för ett fritt samhällsskick. Han bör alltid uppmärksamma syftet mera än framställningssättet. Om han är tveksam, bör han hellre fria än fälla. Stor försiktighet skall således iakttas vid alla ingripanden som riktar sig mot företeelser som typiskt sett åtnjuter skydd av grundlagarna. Om ett ingripande är oförenligt med grundlagarnas syfte, men ändå inte direkt strider mot någon bestämmelse, bör ingripandet alltså underlåtas.

4 4 (7) Webbplatsen BC har sedan kreditupplysningstjänsterna lanserades av återförsäljaren Ratsit på webbplatsen den 23 november 2006 ansett att allt utlämnande av kreditupplysningar som skett på webbplatsen omfattas av BC:s utgivningsbevis för databasen Återförsäljaren Ratsit hade inte något eget utgivningsbevis för någon egen databas när tjänsten lanserades. Den 8 mars 2007 utfärdade dock RTVV ett utgivningsbevis till Ratsit för databasen ratsit.se. Datainspektionen konstaterar att det vid sidan om Datainspektionens tillsynsaktiviteter mot BC och Ratsit pågår en förundersökning avseende kreditupplysningstjänsterna på webbplatsen hos 1:a åklagarkammaren i Göteborg sedan den 3 juli Förundersökningen är föranledd av en anmälan som gjordes den 24 november 2006 gällande brott mot såväl personuppgiftslagen som kreditupplysningslagen med anledning av innehållet på webbplatsen Innan förundersökningen inleddes uppkom fråga i vad mån åklagarmyndigheten eller Justitiekanslern (JK) var behörig åklagare att ta ställning till anmälan. Åklagarmyndigheten, Utvecklingscentrum Malmö, begärde därför samråd med JK angående handläggningen av anmälan. JK gjorde följande bedömning i beslut den 26 juni 2007 (dnr ): Av det utgivningsbevis som innehas av Business Check i Sverige AB framgår att verksamheten drivs från databasen vars layout skiljer sig från den som webbplatsen har. Det finns inte heller något på webbplatserna som tyder på att det finns en innehållsmässig koppling mellan dem. Övervägande skäl talar således för att det rör sig om två olika databaser och att utgivningsbeviset skapar grundlagsskydd endast för databasen med namnet Den omständigheten att det möjligen rör sig om en gemensam databas eller bank av kreditupplysningar förändrar enligt justitiekanslern inte denna bedömning. Till saken hör nämligen att grundlagsskyddet för yttrandefriheten såsom det är reglerat i tryckfrihetsförordningen och yttrandefrihetsgrundlagen är knutet till vissa angivna medier, dvs. till själva informationsbäraren, och inte till informationen som sådan. Sammanfattningsvis innebär det anförda att webbplatsen saknade grundlagsskydd enligt YGL i tiden före den 8 mars Yttrandefrihetsgrundlagen sätter således inga hinder mot ingripanden med anledning av sådana uppgifter som har varit tillgängliga där i tiden före den 8 mars Huruvida sådana ingripanden bör ske ankommer dock på allmän åklagare att ta ställning till. Anmälan i ärendet återlämnas därför till Åklagarmyndigheten för den åtgärd som den kan föranleda såvitt avser denna del. Som Datainspektionen förstår yttrandet anser JK att webbplatsen såsom den var utformad under tiden den 23 november 2006 till den 8 mars 2007 inte omfattades av BC:s utgivningsbevis för databasen Eftersom Ratsit saknade ett eget utgivningsbevis under denna tidsperiod finns det anledning att anta att webbplatsen över huvud taget saknade grundlagsskydd under perioden i fråga. Det utlämnande av kreditupplysningsinformation som skedde på webbplatsen

5 5 (7) under tiden den 23 november 2006 till den 8 mars 2007 kan därmed i många fall ha stått i strid med bestämmelserna i 9 och/eller 11 kreditupplysningslagen. Datainspektionen konstaterar att det redan pågår en förundersökning hos 1:a åklagarkammaren i Göteborg angående det utlämnande av kreditupplysningsinformation som skett på webbplatsen under tiden den 23 november 2006 till den 8 mars Det torde ligga inom ramen för denna förundersökning att dels utreda i vilken omfattning kreditupplysningar lämnats ut i strid med kreditupplysningslagen dels utreda vilket bolag, BC eller Ratsit, som är ansvarigt för utlämnandet i fråga. Förundersökningen tar dock inte sikte på det utlämnande av kreditupplysningsinformation som skett på webbplatsen efter den 8 mars Från denna tidpunkt har förutsättningarna för utlämnandet förändrats på minst två olika sätt. För det första har RTVV utfärdat ett utgivningsbevis till Ratsit för databasen ratsit.se. För det andra har utformningen av webbplatsen i viss mån förändrats. När kreditupplysningsinformation lämnas ut sker detta numera i en särskild ruta på webbplatsen där användaren informeras om att Leverantör av informationen nedan är Business Check i Sverige AB. Fråga uppstår därmed om kreditupplysningstjänsten på webbplatsen genom denna utformning är så pass väl avgränsad och framstår som en databas att den kan anses omfattas av BC:s utgivningsbevis för databasen Datainspektionen anser att detta i och för sig är tveksamt. Datainspektionen avstår dock från ytterligare åtgärder mot BC och Ratsit i denna fråga på grund av att stor försiktighet ska iakttas vid alla ingripanden som riktar sig mot företeelser som typiskt sett åtnjuter skydd av grundlagarna. Datainspektionen översänder dock materialet i denna utredning till 1:a åklagarekammaren i Göteborg och RTVV för kännedom och eventuell åtgärd. Webbplatsen Den aktuella kreditupplysningstjänsten påstås vara en sådan tjänst där kreditupplysningar lämnas ut med stöd av YGL. Om detta är korrekt behöver kunden således inte något legitimt behov av kreditupplysningen och den omfrågade har inte rätt att få del av någon kreditupplysningskopia. Tjänsten tillhandahålls av företaget Notara. Notara bedriver enligt egen uppgift inte någon form av kreditupplysningsverksamhet på eget ansvar. Notara är endast förmedlare av BC:s information. Notara är inte i någon del personuppgiftsansvarigt för den personuppgiftsbehandling som sker på webbplatsen. Notara saknar eget utgivningsbevis. Det är i stället BC som är ansvarigt för den kreditupplysningsinformation som lämnas ut på webbplatsen BC anser att utlämnandet av kreditupplysningsinformation som sker på webbplatsen omfattas av BC:s frivilliga utgivningsbevis

6 6 (7) Datainspektionen har inom ramen för tillsynsärendet inhämtat kreditupplysningar från webbplatsen Datainspektionen konstaterar att det finns mycket lite som upplyser en användare om att utlämnandet av kreditupplysningsinformation som sker från webbplatsen sker från databasen Det enda som antyder att detta är ett utlämnande som omfattas av BC:s utgivningsbevis är en informationsruta som dyker upp i nedersta delen av skärmbilden i samband med att en kreditupplysning publiceras. Information som uppenbarligen hämtas från BC:s kreditupplysningsregister, exempelvis namn och personnummer, publiceras dessutom på webbplatsen i ett tidigare led utan att det på något sätt framgått att BC ansvarar för utlämnandet. Datainspektionen anser inte att databasen därmed kan anses väl avgränsad och framstå som en databas som BC ansvarar för vid sidan av webbplatsen som Notara ansvarar för. Datainspektionen anser tvärtom att det utlämnande som sker på webbplatsen är en direkt parallell till det utlämnande av kreditupplysningsinformation som skedde på webbplatsen under tiden den 23 november 2006 till den 8 mars Av det utgivningsbevis som innehas av BC framgår att verksamheten drivs från databasen vars layout skiljer sig från den som webbplatsen har. Databasen framstår inte som en sammanhållen produkt för användaren. Det finns inte heller något på webbplatserna som tyder på att det finns en innehållsmässig koppling mellan dem. Övervägande skäl talar således för att det rör sig om två olika databaser och att utgivningsbeviset skapar grundlagsskydd endast för databasen med namnet Sammanfattningsvis innebär det anförda att webbplatsen saknar grundlagsskydd enligt YGL. BC måste därför upphöra med att lämna ut kreditupplysningar på webbplatsen utan att beakta bestämmelserna om legitimt behov och kreditupplysningskopia i 9 och 11 kreditupplysningslagen. Datainspektionen översänder materialet i denna utredning till 1:a åklagarekammaren i Göteborg och RTVV för kännedom och eventuell åtgärd. Sammanfattning Datainspektionen anser sammanfattningsvis att BC handlar i strid med bestämmelsen i 9 och 11 kreditupplysningslagen genom att lämna ut kreditupplysningar på webbplatsen om fysiska personer som inte är näringsidkare utan att beakta bestämmelsen om legitimt behov och genom att lämna ut kreditupplysningar om fysiska personer, handelsbolag och kommanditbolag utan att någon kreditupplysningskopia sänds till de omfrågade. BC måste därför upphöra med att lämna ut kreditupplysningar på webbplatsen utan att beakta bestämmelserna om legitimt behov och kreditupplysningskopia i 9 och 11 kreditupplysningslagen.

7 7 (7) Vad gäller eventuella brott mot 19 första stycket 2 punkten och ersättning för skada som åsamkats de registrerade är detta frågor som handläggs vid allmän domstol. Datainspektionen översänder materialet i denna utredning till 1:a åklagarekammaren i Göteborg för kännedom och eventuell åtgärd. Materialet översänds även till RTVV för kännedom och eventuell åtgärd. Övrigt Det har inom ramen för det aktuella tillsynsärendet framkommit att BC även synes ansvara för annan kreditupplysningsverksamhet som bedrivs på andra webbplatser under liknande omständigheter, exempelvis på webbplatserna och Dessa kreditupplysningstjänster är inte föremål för tillsyn i det aktuella ärendet. Hur man överklagar Om ni vill överklaga beslutet skall Ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som Ni begär. Inspektionen måste ha fått Ert överklagande inom tre veckor från den dag Ni fick del av beslutet, annars kan överklagandet inte prövas. Datainspektionen sänder överklagandet vidare till Länsrätten i Stockholms län för prövning, om inspektionen inte själv ändrar beslutet på det sätt Ni har begärt. Även Justitiekanslern får överklaga beslutet för att tillvarata allmänna intressen. Tiden för överklagande för Justitiekanslern räknas dock från den dag beslutet meddelades. Detta beslut har fattats av generaldirektören Göran Gräslund i närvaro av chefsjuristen Leif Lindgren, teamledaren Catharina Fernquist samt avdelningsdirektören Hans Kärnlöf, föredragande. Göran Gräslund Hans Kärnlöf Kopia till: Justitiekanslern