1 §  Denna lag gäller kreditupplysningsverksamhet som innebär att någon, utom i enstaka fall, lämnar kreditupplysningar mot ersättning eller som ett led i näringsverksamhet. Lagen gäller också annan kreditupplysningsverksamhet, om den är av större omfattning.

Lagen gäller inte när en myndighet lämnar ut uppgifter med stöd av lag, förordning eller ett särskilt beslut av regeringen eller en myndighet som regeringen har bestämt.

Lagen gäller inte heller för förmedling av kreditupplysningar mellan företag inom samma koncern, utom när upplysningen lämnas av ett företag som har tillstånd av Datainspektionen enligt 3 § första stycket. Lag (1997:556).

1 a §  Denna lag innehåller, i den del den avser behandling av personuppgifter, bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning.

Vid sådan behandling av personuppgifter som omfattas av EU:s dataskyddsförordning gäller även lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som regeringen har meddelat i anslutning till lagen. Lag (2018:405).

2 §  Med kreditupplysning avses i denna lag uppgifter, omdömen eller råd som lämnas till ledning för bedömning av någon annans kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende. Uppgifter, omdömen eller råd som lämnas till någon för att användas i dennes kreditupplysningsverksamhet anses dock inte som kreditupplysning.

Med näringsidkare avses i denna lag även den som, utan att driva näringsverksamhet, har ett så väsentligt inflytande i en viss verksamhet att uppgifter om hans egna förhållanden behövs för att belysa verksamhetens ekonomiska ställning. Lag (1997:556).

3 §  Kreditupplysningsverksamhet får bedrivas endast efter tillstånd av Datainspektionen.

Datainspektionens tillstånd behövs dock inte för följande företag, om deras grundläggande tillstånd omfattar kreditupplysningsverksamhet:

1. ett svenskt kreditinstitut,
2. ett utländskt kreditinstitut som driver verksamhet i Sverige enligt 4 kap.1 eller 2 § lagen (2004:297) om bank- och finansieringsrörelse, eller
3. ett utländskt kreditinstitut som har tillstånd att driva verksamhet i Sverige enligt 4 kap. 4 § lagen om bank- och finansieringsrörelse.

Ett företag som avses i andra stycket 1 eller 3 får börja bedriva kreditupplysningsverksamhet två månader efter det att Datainspektionen har tagit emot en anmälan från företaget om att det avser att bedriva sådan verksamhet.

Tillstånd behövs inte för kreditupplysningsverksamhet, i den mån den bedrivs genom offentliggörande av kreditupplysning på ett sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Lag (2004:301).

4 §  Tillstånd att bedriva kreditupplysningsverksamhet får meddelas endast om verksamheten kan antas bli bedriven på ett sakkunnigt och omdömesgillt sätt.

Datainspektionen får besluta om villkor för hur ett företags kreditupplysningsverksamhet skall bedrivas och om skyldighet för ett företag att anmäla ändring av förhållanden som har betydelse för rätten att bedriva verksamheten. Lag (1997:556).

5 §  Kreditupplysningsverksamhet ska bedrivas så att den inte leder till otillbörligt intrång i personlig integritet genom innehållet i de upplysningar som förmedlas eller på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. För sådan behandling av personuppgifter som omfattas av EU:s dataskyddsförordning gäller i stället artikel 5 i den förordningen.

Uppgifter om fysiska personer får samlas in endast för kreditupplysningsändamål.

Vid helt eller delvis automatiserad behandling av uppgifter om juridiska personer ska den som bedriver kreditupplysningsverksamhet vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att hindra att behandlingen sker på ett otillåtet sätt och att uppgifterna utsätts för otillåten insyn. Bestämmelser om säkerheten vid behandling av personuppgifter finns i EU:s dataskyddsförordning.

I kreditupplysningsverksamhet får personuppgifter behandlas utan samtycke. Den registrerade har inte rätt att göra invändningar enligt artikel 21.1 i EU:s dataskyddsförordning mot behandlingen.

Andra stycket tillämpas inte i den utsträckning det skulle strida mot bestämmelserna i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Lag (2018:405).

5 a §  Vad som gäller om tystnadsplikt i verksamheten hos svenska kreditinstitut, betalningsinstitut, institut för elektroniska pengar, värdepappersbolag och företag som med tillstånd driver verksamhet enligt lagen (2014:275) om viss verksamhet med konsumentkrediter eller lagen (2016:1024) om verksamhet med bostadskrediter hindrar inte att uppgifter om lämnade krediter, betalningsförsummelser och kreditmissbruk utväxlas för kreditupplysningsändamål inom en krets som utgörs av dessa företag samt sådana företag som har tillstånd av Datainspektionen enligt 3 § första stycket.

I den krets som anges i första stycket ingår även utländska kreditinstitut som avses i 4 kap.1, 2, 4 och 6 §§ lagen (2004:297) om bank- och finansieringsrörelse, utländska företag som avses i 3 kap.26 och 27 §§ lagen (2010:751) om betaltjänster, utländska företag som avses i 3 kap.26–28 §§ lagen (2011:755) om elektroniska pengar, utländska företag som avses i 4 kap.1 och 4 §§ lagen (2007:528) om värdepappersmarknaden, utländska företag som avses i 2 § lagen (2014:275) om viss verksamhet med konsumentkrediter och utländska företag som avses i 1 kap. 3 § lagen (2016:1024) om verksamhet med bostadskrediter.

Bestämmelser om användningen av uppgifter om betalningsförsummelser och kreditmissbruk finns även i 7 §. Lag (2016:1025).

6 §  Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får inte behandlas i kreditupplysningsverksamhet.

Uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden får inte utan medgivande av Datainspektionen behandlas i kreditupplysningsverksamhet. Ett medgivande får lämnas endast om det finns synnerliga skäl för det.

Andra stycket hindrar inte att uppgifter om betalningsförsummelser, kreditmissbruk eller näringsförbud behandlas i kreditupplysningsverksamhet. Lag (2018:405).

8 §  En uppgift om en fysisk person ska gallras när det inte längre är nödvändigt att bevara uppgiften med hänsyn till ändamålet med behandlingen.

En uppgift om en fysisk person som inte är näringsidkare ska, om uppgiften inte gäller skuldsanering eller F-skuldsanering, gallras senast tre år efter den dag då den omständighet inträffade eller det förhållande upphörde som uppgiften avser. Om uppgiften rör en begäran om eller ett utlämnande av en kreditupplysning, ska den dock gallras senast ett år efter den dag då begäran framställdes.

En uppgift om skuldsanering ska gallras senast fem år efter den dag då inledandebeslutet meddelades eller, om uppgiften gäller F-skuldsanering, senast tre år efter den dagen. Om en betalningsplan löper ut senare, ska dock uppgiften gallras senast den dag då planen löper ut.

En uppgift som har inhämtats från Kronofogdemyndigheten i dess verksamhet med indrivning och utsökning ska gallras när den inte omfattas av undantaget från sekretess i 34 kap. 1 § andra stycket offentlighets- och sekretesslagen (2009:400). En uppgift som har inhämtats från Kronofogdemyndigheten ska också gallras när den har blockerats av Kronofogdemyndigheten med stöd av 3 kap. 3 a § lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet. Lag (2016:679).

9 §  Kreditupplysningar om fysiska personer som inte är näringsidkare får inte lämnas ut, om det finns anledning att anta att upplysningen kommer att användas av någon annan än den som på grund av ett ingånget eller ifrågasatt kreditavtal eller av någon liknande anledning har behov av upplysningen.

Första stycket gäller inte offentliggörande av en kreditupplysning på ett sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen, utom när upplysningen tillhandahålls ur en databas enligt 1 kap. 9 § yttrandefrihetsgrundlagen på sätt som avses i den paragrafens första stycke 1 och 2. Lag (2010:1073).

10 §  En juridisk person har rätt att mot skälig avgift hos den som bedriver kreditupplysningsverksamhet få skriftligt besked om huruvida det i verksamheten behandlas uppgifter om den juridiska personen. Behandlas sådana uppgifter ska besked lämnas om

1. vilka uppgifter som behandlas,
2. ändamålen med behandlingen, och
3. till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut.

Första stycket tillämpas inte i den utsträckning det skulle strida mot bestämmelserna i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen.

Bestämmelser om en fysisk persons rätt till tillgång till personuppgifter och annan information finns i artiklarna 12 och 15 i EU:s dataskyddsförordning. Lag (2018:405).

11 §  När en kreditupplysning om en fysisk person lämnas ut, ska till den som avses med upplysningen samtidigt och kostnadsfritt sändas ett skriftligt meddelande om

1. vem som bedriver kreditupplysningsverksamheten och kontaktuppgifter till dataskyddsombudet, om ett sådant ombud krävs enligt artikel 37 i EU:s dataskyddsförordning,
2. ändamålen med och den rättsliga grunden för behandlingen,
3. vilka kategorier av personuppgifter som behandlas, varifrån uppgifterna hämtats och hur länge uppgifterna kommer att lagras,
4. de uppgifter, omdömen och råd som upplysningen innehåller om honom eller henne,
5. möjligheten att få tillgång till och rättelse av de uppgifter som rör honom eller henne,
6. vilka kategorier av mottagare som kan ta del av personuppgifterna och vem som har begärt upplysningen, och
7. möjligheten att framställa klagomål till Datainspektionen.

Om kreditupplysningen lämnas ut till ett svenskt kreditinstitut eller värdepappersbolag, eller till ett motsvarande utländskt företag, för att användas endast som underlag för beräkning av kapitalkravet för kreditrisker med en sådan metod som avses i artikel 143.1 i Europaparlamentets och rådets förordning (EU) nr 575/2013 av den 26 juni 2013 om tillsynskrav för kreditinstitut och värdepappersföretag och om ändring av förordning (EU) nr 648/2012, får meddelandet sändas senare men utan onödigt dröjsmål och begränsas till information enligt första stycket 1, 2 och 6. Om den som avses med upplysningen begär det, ska även information enligt 3, 4, 5 och 7 sändas till honom eller henne.

Första och andra styckena gäller också när en kreditupplysning lämnas om ett handelsbolag eller kommanditbolag.

Första–tredje styckena gäller inte kreditupplysningar som lämnas genom offentliggörande på ett sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen, utom när upplysningarna tillhandahålls ur en databas enligt 1 kap. 9 § yttrandefrihetsgrundlagen på sätt som avses i den paragrafens första stycke 1 och 2. Lag (2018:405).

12 §  Om det finns anledning att misstänka att en uppgift som behandlas i kreditupplysningsverksamhet eller som har lämnats i en kreditupplysning under den senaste tolvmånadersperioden är oriktig eller missvisande, eller att den annars har behandlats i strid med denna lag eller EU:s dataskyddsförordning, ska den som bedriver verksamheten utan dröjsmål vidta skäliga åtgärder för att utreda förhållandet.

Om det visar sig att uppgiften är oriktig eller missvisande, eller att den annars har behandlats i strid med lagen eller EU:s dataskyddsförordning, ska den, om den förekommer i register, rättas, kompletteras eller raderas.

Om en oriktig eller missvisande uppgift har tagits in i en kreditupplysning som lämnats ut, ska rättelse eller komplettering så snart det kan ske tillställas var och en som under den senaste tolvmånadersperioden fått del av uppgiften. Detta gäller inte offentliggörande av en kreditupplysning på ett sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen, utom när upplysningen tillhandahållits ur en databas enligt 1 kap. 9 § yttrandefrihetsgrundlagen på sätt som avses i den paragrafens första stycke 1 och 2.

Om uppgiften under den senaste tolvmånadersperioden har lämnats i en periodisk skrift eller i en kreditupplysningsverksamhet som bedrivs genom återkommande offentliggöranden enligt yttrandefrihetsgrundlagen, ska rättelse eller komplettering så snart det kan ske införas i ett följande nummer av skriften eller motsvarande form av offentliggörande enligt yttrandefrihetsgrundlagen.

Andra–fjärde styckena gäller inte om uppgiften uppenbarligen saknar betydelse för bedömningen av personens vederhäftighet i ekonomiskt hänseende.

Om en fråga om rättelse eller liknande åtgärd har tagits upp efter framställning från den som uppgiften avser, ska han eller hon kostnadsfritt underrättas om huruvida en sådan åtgärd har vidtagits. En fysisk person ska på begäran även få information om vem som har tillställts en rättelse eller komplettering enligt tredje stycket. Lag (2018:405).

12 a §  I artikel 18 i EU:s dataskyddsförordning finns bestämmelser om fysiska personers rätt att begära att behandlingen av personuppgifter begränsas. Lag (2018:405).

13 §  Register som används i kreditupplysningsverksamhet får överlåtas eller upplåtas till annan endast efter medgivande av datainspektionen.

Den som upphör att bedriva kreditupplysningsverksamhet eller som avser att flytta sådan verksamhet till ett annat land eller att kassera ett register som används i sådan verksamhet skall anmäla detta till datainspektionen. Inspektionen föreskriver i sådana fall hur det skall förfaras med register som berörs av åtgärden. Lag (1981:737).

14 §  Den som är eller har varit verksam i kreditupplysningsverksamhet får inte obehörigen röja eller utnyttja vad han till följd därav fått veta om enskildas personliga förhållanden eller om yrkes- eller affärshemligheter. Lag (1981:737).

15 §  Datainspektionen utövar tillsyn över efterlevnaden av denna lag.

Tillsynen ska utövas så att den inte vållar större kostnad eller olägenhet än som är nödvändig.

Vid tillsyn över sådan behandling av personuppgifter som omfattas av EU:s dataskyddsförordning gäller Datainspektionens befogenheter enligt denna lag utöver de befogenheter som tillsynsmyndigheten har enligt artikel 58.1–58.3 i den förordningen. Lag (2018:405).

16 §  Datainspektionen har rätt att företa inspektion hos den som bedriver kreditupplysningsverksamhet och att ta del av samtliga handlingar som rör verksamheten.

Den som bedriver kreditupplysningsverksamhet skall lämna datainspektionen de upplysningar om verksamheten som inspektionen begär för sin tillsyn.

Bedrivs kreditupplysningsverksamhet genom offentliggörande av kreditupplysning på sådant sätt som avses i tryckfrihetsförordningen och yttrandefrihetsgrundlagen skall den som bedriver verksamheten inom en vecka efter offentliggörandet se till att datainspektionen kostnadsfritt får del av det som offentliggjorts. Lag (1991:1563).

17 §  Om den som har rätt att bedriva kreditupplysningsverksamhet åsidosätter en bestämmelse i denna lag eller ett villkor som har meddelats med stöd av 4 § andra stycket, får Datainspektionen förelägga honom att vidta rättelse, besluta om att ändra ett villkor som tidigare meddelats eller meddela ett nytt villkor.

Om rättelse inte kan åstadkommas på något annat sätt, såvitt gäller någon som har tillstånd enligt 3 § första stycket, får Datainspektionen återkalla tillståndet. Detsamma gäller, om förutsättningarna för tillståndet i övrigt inte längre föreligger.

Om ett företag som avses i 3 § andra stycket 1 eller 3 inte vidtar rättelse, skall Datainspektionen underrätta Finansinspektionen.

Om ett företag som avses i 3 § andra stycket 2 inte vidtar rättelse, skall Datainspektionen underrätta den behöriga myndigheten i företagets hemland. Om rättelse ändå inte sker, får Datainspektionen förbjuda företaget att göra nya åtaganden här i landet. Innan förbud meddelas skall inspektionen underrätta den behöriga myndigheten i företagets hemland. I brådskande fall får inspektionen meddela förbud utan föregående underrättelse till hemlandsmyndigheten. Denna skall då underrättas så snart det kan ske. Lag (2004:301).

18 §  Regeringen får föreskriva om skyldighet för den som bedriver kreditupplysningsverksamhet att betala avgift för Datainspektionens tillsynsverksamhet enligt denna lag.

Avgift påförs av Datainspektionen. Lag (1997:556).

19 §  Till böter eller fängelse i högst ett år döms den som uppsåtligen eller av oaktsamhet

1. bedriver kreditupplysningsverksamhet utan att ha rätt till det enligt 3 §,
2. bryter mot 6–9 §§, 13 § första stycket eller andra stycket första meningen eller 16 § tredje stycket,
3. bryter mot ett villkor som har meddelats enligt 4 § andra stycket, 13 § andra stycket andra meningen eller 17 § första stycket, eller
4. lämnar en osann uppgift i sådana fall som avses i 10 § eller 16 § andra stycket eller i ett meddelande enligt 11 §.

Till böter döms den som genom oriktiga uppgifter uppsåtligen föranleder att någon som bedriver kreditupplysningsverksamhet, i annat fall än de som undantas i 9 § andra stycket, lämnar ut en kreditupplysning utan att ha grund till detta enligt 9 § första stycket. Till samma straff döms den som genom att utnyttja uppgifter hos någon som bedriver kreditupplysningsverksamhet uppsåtligen bereder sig tillgång till en kreditupplysning utan att ha grund till detta enligt 9 § första stycket. I ringa fall döms dock inte till ansvar. Lag (2010:1073).

20 §  Har kreditupplysningsverksamhet bedrivits av någon som inte haft rätt till det enligt 3 §, skall register som använts i verksamheten förklaras förverkade om det inte är uppenbart obilligt. Detsamma gäller, om register överlåtits eller upplåtits i strid med 13 § första stycket eller om vad som bestämts enligt 13 § andra stycket andra meningen inte följts. Lag (1997:556).

21 §  Den som bedriver kreditupplysningsverksamhet ska ersätta skada som till följd av verksamheten tillfogas någon genom otillbörligt intrång i hans eller hennes personliga integritet eller genom att en oriktig uppgift lämnas om honom eller henne, om inte den som bedriver verksamheten kan visa att tillbörlig omsorg och varsamhet har iakttagits. Vid bedömningen av i vilken utsträckning skada har uppstått ska hänsyn tas även till lidande och andra omständigheter av annan än rent ekonomisk betydelse.

För sådan behandling av personuppgifter som omfattas av EU:s dataskyddsförordning gäller artikel 82 i den förordningen i stället för första stycket. Lag (2018:405).

22 §  Om den som bedriver kreditupplysningsverksamhet inte fullgör vad som åligger honom enligt 10, 11 eller 12 §, får datainspektionen förelägga vite. Detsamma gäller, om den som bedriver sådan verksamhet underlåter att lämna tillgång till handling eller att lämna upplysning i fall som avses i 16 § första eller andra stycket. Lag (1981:737).

23 §  Datainspektionens beslut enligt denna lag får överklagas hos allmän förvaltningsdomstol. Justitiekanslern får föra talan för att ta till vara allmänna intressen.

Prövningstillstånd krävs vid överklagande till kammarrätten av beslut om föreläggande av vite. Lag (1998:380).