Beslut Dnr 2008-05-16 1644-2006 Advokatfirman Lindahl KB Att: Lars B Melin Box 11911 404 39 GÖTEBORG Ombud för: Business Check i Sverige AB Tillsyn enligt kreditupplysningslagen (1973:1173) Datainspektionens beslut Datainspektionen konstaterar att Business Check i Sverige AB handlar i strid med 9 kreditupplysningslagen genom att lämna ut kreditupplysningar på webbplatsen www.notara.se om fysiska personer som inte är näringsidkare trots att det finns anledning att anta att upplysningen kommer att användas av någon annan än den som på grund av ett ingånget eller ifrågasatt kreditavtal eller av någon liknande anledning har behov av upplysningen. Datainspektionen konstaterar vidare att Business Check i Sverige AB handlar i strid med 11 första och andra styckena kreditupplysningslagen genom att lämna ut kreditupplysningar på webbplatsen www.notara.se om fysiska personer, handelsbolag och kommanditbolag utan att tillställa de omfrågade en kreditupplysningskopia. Datainspektionen förelägger Business Check i Sverige AB att upphöra med att lämna ut kreditupplysningar på webbplatsen www.notara.se utan att beakta bestämmelserna om legitimt behov och kreditupplysningskopia i 9 och 11 kreditupplysningslagen. Redogörelse för tillsynsärendet Datainspektionen har uppmärksammat att kreditupplysningar publiceras på bl.a. följande webbplatser: www.ratsit.se www.notara.se På dessa webbplatser lämnas kreditupplysningar ut om fysiska personer som inte är näringsidkare trots att det finns anledning att anta att upplysningen kommer att användas av någon annan än den som på grund av ett ingånget eller ifrågasatt kreditavtal eller av någon liknande anledning har behov av upplysningen (s.k. legitimt behov). Postadress: Box 8114, 104 20 STOCKHOLM E-post: datainspektionen@datainspektionen.se Besöksadress: Fleminggatan 14, plan 9 Telefon: 08-657 61 00 Webbplats: http://www.datainspektionen.se Telefax: 08-652 86 52
2 (7) Kreditupplysningar lämnas ut om fysiska personer, handelsbolag och kommanditbolag utan att det till den som avses med upplysningen samtidigt och kostnadsfritt sänds ett skriftligt meddelande om de uppgifter, omdömen och råd som upplysningen innehåller rörande honom och om vem som begärt upplysningen (en s.k. kreditupplysningskopia). Dessa webbplatser drivs av olika återförsäljare till Business Check i Sverige AB (BC). Datainspektionen har inhämtat flera yttranden från BC och, i separata tillsynsärenden, återförsäljarna (Ratsit AB dnr 1643-2006 och Notara Kreditupplysning AB dnr 1322-2007). Av BC:s, och återförsäljarnas, yttranden har anförts bl.a. följande. Radio- och TV-verket (RTVV) utfärdade den 18 februari 2004 ett sådant frivilligt utgivningsbevis som sägs i 1 kap. 9 andra stycket yttrandefrihetsgrundlagen (YGL) till BC för databasen www.businesscheck.se. Webbplatsen www.ratsit.se drivs sedan den 23 november 2006 av BC:s återförsäljare Ratsit AB (Ratsit). På webbplatsen tillhandahålls kreditupplysningar (Personrapport Small, Medium och Large). Den kreditupplysningsinformation som lämnas ut på webbplatsen www.ratsit.se tillhandahålls av BC. Ratsit endast förmedlar kreditinformationen till slutkund. Ratsit har inte tillgång till och förfogar inte på något sätt över den av BC publicerade kreditupplysningsinformationen på webbplatsen www.ratsit.se. Ratsit bedriver inte någon form av kreditupplysningsverksamhet på eget ansvar. RTVV utfärdade den 8 mars 2007 ett utgivningsbevis till Ratsit för databasen ratsit.se. BC är ansvarigt för den kreditupplysningsinformation som lämnas ut på den omodererade tjänst som tillhandahålls på webbplatsen www.ratsit.se på undersidan www.ratsit.se/search.aspx. BC anser att utlämnandet av kreditupplysningsinformation som sker på denna del av webbplatsen omfattas av BC:s frivilliga utgivningsbevis för databasen www.businesscheck.se. Detta innebär enligt BC att kreditupplysningsverksamheten inte omfattas av bestämmelserna om legitimt behov och kreditupplysningskopia. Webbplatsen www.notara.se drivs sedan 2006 av BC:s återförsäljare Notara Kreditupplysning AB (Notara). På Webbplatsen förmedlas tjänsterna kreditupplysning och kreditbevakning. Den kreditupplysningsinformation som lämnas ut på webbplatsen www.notara.se tillhandahålls av BC. Notara endast förmedlar kreditinformationen till slutkund. Notara har inte tillgång till och förfogar inte på något sätt över den av BC publicerade kreditupplysningsinformationen på webbplatsen www.notara.se. Notara bedriver inte någon form av kreditupplysningsverksamhet på eget ansvar. Notara saknar eget utgivningsbevis. BC är ansvarigt för den kreditupplysningsinformation som lämnas ut på webbplatsen www.notara.se. BC anser att utlämnandet av kreditupplysningsinformation som sker på webbplatsen www.notara.se omfattas av BC:s frivilliga utgivningsbevis för databasen www.businesscheck.se. Detta innebär enligt BC
3 (7) att kreditupplysningsverksamheten inte omfattas av bestämmelserna om legitimt behov och kreditupplysningskopia. Skäl för beslutet Enligt 9 kreditupplysningslagen får inte kreditupplysningar om fysiska personer som inte är näringsidkare lämnas ut om det finns anledning att anta att upplysningen kommer att användas av någon annan än den som på grund av ett ingånget eller ifrågasatt kreditavtal eller av någon liknande anledning har behov av upplysningen. Vad som nu har sagts gäller inte offentliggörande av kreditupplysning på sådant sätt som avses i tryckfrihetsförordningen (TF) eller YGL. Det innebär att den som begär en personupplysning, d.v.s. en kreditupplysning om en privatperson, ska ha ett legitimt behov av den. Om personupplysningen lämnas ut med stöd av TF eller YGL behövs däremot inte något sådant legitimt behov. När en kreditupplysning lämnas ut om en fysisk person ska enligt 11 kreditupplysningslagen till den som avses med upplysningen samtidigt och kostnadsfritt sändas ett skriftligt meddelande om de uppgifter, omdömen och råd som upplysningen innehåller rörande honom och om vem som begärt upplysningen. Vad som nu har sagts gäller inte offentliggörande av kreditupplysning på sådant sätt som avses i TF eller YGL. Stadgandet i 11 kreditupplysningslagen innebär en rättighet för den omfrågade att ta del av de uppgifter, omdömen och råd som kreditupplysningen innehåller rörande honom. Om kreditupplysningen lämnas ut med stöd av TF eller YGL behöver kreditupplysningsföretaget inte sända någon sådan kreditupplysningskopia till den omfrågade. Som Datainspektionen förstår BC:s yttranden anser BC att dess kreditupplysningstjänster på webbplatserna www.ratsit.se och www.notara.se omfattas av grundlagskydd eftersom RTVV utfärdat ett utgivningsbevis för BC:s databas www.businesscheck.se. Av 1 kap. 1 och 9 YGL framgår att bl.a. den som har utgivningsbevis är gentemot det allmänna tillförsäkrad att offentligen uttrycka tankar, åsikter och känslor och i övrigt lämna uppgifter i vilket ämne som helst. Grundlagsskyddet innebär bl.a. att myndigheter inte får förhandsgranska eller försvåra publicering. Av 1 kap. 5 YGL framgår att den som skall döma över missbruk av yttrandefriheten eller på annat sätt vaka över att YGL efterlevs bör betänka att yttrandefriheten är en grundval för ett fritt samhällsskick. Han bör alltid uppmärksamma syftet mera än framställningssättet. Om han är tveksam, bör han hellre fria än fälla. Stor försiktighet skall således iakttas vid alla ingripanden som riktar sig mot företeelser som typiskt sett åtnjuter skydd av grundlagarna. Om ett ingripande är oförenligt med grundlagarnas syfte, men ändå inte direkt strider mot någon bestämmelse, bör ingripandet alltså underlåtas.
4 (7) Webbplatsen www.ratsit.se BC har sedan kreditupplysningstjänsterna lanserades av återförsäljaren Ratsit på webbplatsen www.ratsit.se den 23 november 2006 ansett att allt utlämnande av kreditupplysningar som skett på webbplatsen omfattas av BC:s utgivningsbevis för databasen www.businesscheck.se. Återförsäljaren Ratsit hade inte något eget utgivningsbevis för någon egen databas när tjänsten lanserades. Den 8 mars 2007 utfärdade dock RTVV ett utgivningsbevis till Ratsit för databasen ratsit.se. Datainspektionen konstaterar att det vid sidan om Datainspektionens tillsynsaktiviteter mot BC och Ratsit pågår en förundersökning avseende kreditupplysningstjänsterna på webbplatsen www.ratsit.se hos 1:a åklagarkammaren i Göteborg sedan den 3 juli 2007. Förundersökningen är föranledd av en anmälan som gjordes den 24 november 2006 gällande brott mot såväl personuppgiftslagen som kreditupplysningslagen med anledning av innehållet på webbplatsen www.ratsit.se. Innan förundersökningen inleddes uppkom fråga i vad mån åklagarmyndigheten eller Justitiekanslern (JK) var behörig åklagare att ta ställning till anmälan. Åklagarmyndigheten, Utvecklingscentrum Malmö, begärde därför samråd med JK angående handläggningen av anmälan. JK gjorde följande bedömning i beslut den 26 juni 2007 (dnr 1914-07-31): Av det utgivningsbevis som innehas av Business Check i Sverige AB framgår att verksamheten drivs från databasen www.businesscheck.se, vars layout skiljer sig från den som webbplatsen www.ratsit.se har. Det finns inte heller något på webbplatserna som tyder på att det finns en innehållsmässig koppling mellan dem. Övervägande skäl talar således för att det rör sig om två olika databaser och att utgivningsbeviset skapar grundlagsskydd endast för databasen med namnet www.businesscheck.se. Den omständigheten att det möjligen rör sig om en gemensam databas eller bank av kreditupplysningar förändrar enligt justitiekanslern inte denna bedömning. Till saken hör nämligen att grundlagsskyddet för yttrandefriheten såsom det är reglerat i tryckfrihetsförordningen och yttrandefrihetsgrundlagen är knutet till vissa angivna medier, dvs. till själva informationsbäraren, och inte till informationen som sådan. Sammanfattningsvis innebär det anförda att webbplatsen www.ratsit.se saknade grundlagsskydd enligt YGL i tiden före den 8 mars 2007. Yttrandefrihetsgrundlagen sätter således inga hinder mot ingripanden med anledning av sådana uppgifter som har varit tillgängliga där i tiden före den 8 mars 2007. Huruvida sådana ingripanden bör ske ankommer dock på allmän åklagare att ta ställning till. Anmälan i ärendet återlämnas därför till Åklagarmyndigheten för den åtgärd som den kan föranleda såvitt avser denna del. Som Datainspektionen förstår yttrandet anser JK att webbplatsen www.ratsit.se såsom den var utformad under tiden den 23 november 2006 till den 8 mars 2007 inte omfattades av BC:s utgivningsbevis för databasen www.businesscheck.se. Eftersom Ratsit saknade ett eget utgivningsbevis under denna tidsperiod finns det anledning att anta att webbplatsen www.ratsit.se över huvud taget saknade grundlagsskydd under perioden i fråga. Det utlämnande av kreditupplysningsinformation som skedde på webbplatsen
5 (7) www.ratsit.se under tiden den 23 november 2006 till den 8 mars 2007 kan därmed i många fall ha stått i strid med bestämmelserna i 9 och/eller 11 kreditupplysningslagen. Datainspektionen konstaterar att det redan pågår en förundersökning hos 1:a åklagarkammaren i Göteborg angående det utlämnande av kreditupplysningsinformation som skett på webbplatsen www.ratsit.se under tiden den 23 november 2006 till den 8 mars 2007. Det torde ligga inom ramen för denna förundersökning att dels utreda i vilken omfattning kreditupplysningar lämnats ut i strid med kreditupplysningslagen dels utreda vilket bolag, BC eller Ratsit, som är ansvarigt för utlämnandet i fråga. Förundersökningen tar dock inte sikte på det utlämnande av kreditupplysningsinformation som skett på webbplatsen www.ratsit.se efter den 8 mars 2007. Från denna tidpunkt har förutsättningarna för utlämnandet förändrats på minst två olika sätt. För det första har RTVV utfärdat ett utgivningsbevis till Ratsit för databasen ratsit.se. För det andra har utformningen av webbplatsen www.ratsit.se i viss mån förändrats. När kreditupplysningsinformation lämnas ut sker detta numera i en särskild ruta på webbplatsen där användaren informeras om att Leverantör av informationen nedan är Business Check i Sverige AB. Fråga uppstår därmed om kreditupplysningstjänsten på webbplatsen www.ratsit.se genom denna utformning är så pass väl avgränsad och framstår som en databas att den kan anses omfattas av BC:s utgivningsbevis för databasen www.businesscheck.se. Datainspektionen anser att detta i och för sig är tveksamt. Datainspektionen avstår dock från ytterligare åtgärder mot BC och Ratsit i denna fråga på grund av att stor försiktighet ska iakttas vid alla ingripanden som riktar sig mot företeelser som typiskt sett åtnjuter skydd av grundlagarna. Datainspektionen översänder dock materialet i denna utredning till 1:a åklagarekammaren i Göteborg och RTVV för kännedom och eventuell åtgärd. Webbplatsen www.notara.se Den aktuella kreditupplysningstjänsten www.notara.se påstås vara en sådan tjänst där kreditupplysningar lämnas ut med stöd av YGL. Om detta är korrekt behöver kunden således inte något legitimt behov av kreditupplysningen och den omfrågade har inte rätt att få del av någon kreditupplysningskopia. Tjänsten tillhandahålls av företaget Notara. Notara bedriver enligt egen uppgift inte någon form av kreditupplysningsverksamhet på eget ansvar. Notara är endast förmedlare av BC:s information. Notara är inte i någon del personuppgiftsansvarigt för den personuppgiftsbehandling som sker på webbplatsen. Notara saknar eget utgivningsbevis. Det är i stället BC som är ansvarigt för den kreditupplysningsinformation som lämnas ut på webbplatsen www.notara.se. BC anser att utlämnandet av kreditupplysningsinformation som sker på webbplatsen www.notara.se omfattas av BC:s frivilliga utgivningsbevis www.businesscheck.se.
6 (7) Datainspektionen har inom ramen för tillsynsärendet inhämtat kreditupplysningar från webbplatsen www.notara.se. Datainspektionen konstaterar att det finns mycket lite som upplyser en användare om att utlämnandet av kreditupplysningsinformation som sker från webbplatsen www.notara.se sker från databasen www.businesscheck.se. Det enda som antyder att detta är ett utlämnande som omfattas av BC:s utgivningsbevis www.businesscheck.se är en informationsruta som dyker upp i nedersta delen av skärmbilden i samband med att en kreditupplysning publiceras. Information som uppenbarligen hämtas från BC:s kreditupplysningsregister, exempelvis namn och personnummer, publiceras dessutom på webbplatsen i ett tidigare led utan att det på något sätt framgått att BC ansvarar för utlämnandet. Datainspektionen anser inte att databasen www.businesscheck.se därmed kan anses väl avgränsad och framstå som en databas som BC ansvarar för vid sidan av webbplatsen www.notara.se som Notara ansvarar för. Datainspektionen anser tvärtom att det utlämnande som sker på webbplatsen www.notara.se är en direkt parallell till det utlämnande av kreditupplysningsinformation som skedde på webbplatsen www.ratsit.se under tiden den 23 november 2006 till den 8 mars 2007. Av det utgivningsbevis som innehas av BC framgår att verksamheten drivs från databasen www.businesscheck.se, vars layout skiljer sig från den som webbplatsen www.notara.se har. Databasen framstår inte som en sammanhållen produkt för användaren. Det finns inte heller något på webbplatserna som tyder på att det finns en innehållsmässig koppling mellan dem. Övervägande skäl talar således för att det rör sig om två olika databaser och att utgivningsbeviset skapar grundlagsskydd endast för databasen med namnet www.businesscheck.se. Sammanfattningsvis innebär det anförda att webbplatsen www.notara.se saknar grundlagsskydd enligt YGL. BC måste därför upphöra med att lämna ut kreditupplysningar på webbplatsen www.notara.se utan att beakta bestämmelserna om legitimt behov och kreditupplysningskopia i 9 och 11 kreditupplysningslagen. Datainspektionen översänder materialet i denna utredning till 1:a åklagarekammaren i Göteborg och RTVV för kännedom och eventuell åtgärd. Sammanfattning Datainspektionen anser sammanfattningsvis att BC handlar i strid med bestämmelsen i 9 och 11 kreditupplysningslagen genom att lämna ut kreditupplysningar på webbplatsen www.notara.se om fysiska personer som inte är näringsidkare utan att beakta bestämmelsen om legitimt behov och genom att lämna ut kreditupplysningar om fysiska personer, handelsbolag och kommanditbolag utan att någon kreditupplysningskopia sänds till de omfrågade. BC måste därför upphöra med att lämna ut kreditupplysningar på webbplatsen www.notara.se utan att beakta bestämmelserna om legitimt behov och kreditupplysningskopia i 9 och 11 kreditupplysningslagen.
7 (7) Vad gäller eventuella brott mot 19 första stycket 2 punkten och ersättning för skada som åsamkats de registrerade är detta frågor som handläggs vid allmän domstol. Datainspektionen översänder materialet i denna utredning till 1:a åklagarekammaren i Göteborg för kännedom och eventuell åtgärd. Materialet översänds även till RTVV för kännedom och eventuell åtgärd. Övrigt Det har inom ramen för det aktuella tillsynsärendet framkommit att BC även synes ansvara för annan kreditupplysningsverksamhet som bedrivs på andra webbplatser under liknande omständigheter, exempelvis på webbplatserna www.inkomstupplysning.se och www.upplysning.se. Dessa kreditupplysningstjänster är inte föremål för tillsyn i det aktuella ärendet. Hur man överklagar Om ni vill överklaga beslutet skall Ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som Ni begär. Inspektionen måste ha fått Ert överklagande inom tre veckor från den dag Ni fick del av beslutet, annars kan överklagandet inte prövas. Datainspektionen sänder överklagandet vidare till Länsrätten i Stockholms län för prövning, om inspektionen inte själv ändrar beslutet på det sätt Ni har begärt. Även Justitiekanslern får överklaga beslutet för att tillvarata allmänna intressen. Tiden för överklagande för Justitiekanslern räknas dock från den dag beslutet meddelades. Detta beslut har fattats av generaldirektören Göran Gräslund i närvaro av chefsjuristen Leif Lindgren, teamledaren Catharina Fernquist samt avdelningsdirektören Hans Kärnlöf, föredragande. Göran Gräslund Hans Kärnlöf Kopia till: Justitiekanslern