Ds 2013:27
Ett teknikoberoende skydd för den enskildes integritet vid kreditupplysning
1. Promemorians lagförslag
Förslag till lag om ändring i kreditupplysningslagen (1973:1173)
Härigenom föreskrivs att 9, 11 och 12 §§kreditupplysningslagen (1973:1173)
1
ska ha följande lydelse.
Nuvarande lydelse Föreslagen lydelse
9 §
2
Kreditupplysningar om fysiska personer som inte är näringsidkare får inte lämnas ut, om det finns anledning att anta att upplysningen kommer att användas av någon annan än den som på grund av ett ingånget eller ifrågasatt kreditavtal eller av någon liknande anledning har behov av upplysningen.
Första stycket gäller inte offentliggörande av en kreditupplysning på ett sådant sätt som avses i tryckfrihetsförordningeneller yttrandefrihets-
grundlagen, utom när upplysningen tillhandahålls ur en databas enligt 1 kap. 9 § yttrandefrihetsgrundlagen på sätt som avses i den paragrafens första stycke 1 och 2.
Första stycket gäller inte offentliggörande av en kreditupplysning på ett sådant sätt som avses i tryckfrihetsförordningen.
1 Lagen omtryckt 1981:737. 2 Senaste lydelse 2010:1073.
Promemorians lagförslag Ds 2013:27
11 §
3
När en kreditupplysning om en fysisk person lämnas ut, ska till den som avses med upplysningen samtidigt och kostnadsfritt sändas ett skriftligt meddelande om
1. vem som bedriver kreditupplysningsverksamheten,
2. ändamålen med behandlingen,
3. de uppgifter, omdömen och råd som upplysningen innehåller om honom eller henne,
4. möjligheten att få rättelse av de uppgifter som rör honom eller henne, och
5. vem som har begärt upplysningen. Om kreditupplysningen lämnas ut till ett svenskt kreditinstitut eller värdepappersbolag, eller till ett motsvarande utländskt företag, för att användas endast som underlag för beräkning av kapitalkrav för kreditrisker med en sådan metod som avses i 4 kap. 7 § lagen (2006:1371) om kapitaltäckning och stora exponeringar, får meddelandet sändas senare men utan onödigt dröjsmål och begränsas till information enligt första stycket 1, 2 och 5. Om den som avses med upplysningen begär det, ska även information enligt 3 och 4 sändas till honom eller henne.
Första och andra styckena gäller också när en kreditupplysning lämnas om ett handelsbolag eller kommanditbolag.
Första–tredje styckena gäller inte kreditupplysningar som lämnas genom offentliggörande på ett sådant sätt som avses i tryckfrihetsförordningeneller
yttrandefrihetsgrundlagen, utom när upplysningarna tillhandahålls ur en databas enligt 1 kap. 9 § yttrandefrihetsgrundlagen på sätt som avses i den paragrafens första stycke 1 och 2.
Första–tredje styckena gäller inte kreditupplysningar som lämnas genom offentliggörande på ett sådant sätt som avses i tryckfrihetsförordningen.
3 Senaste lydelse 2010:1073.
Ds 2013:27 Promemorians lagförslag
12 §
4
Finns det anledning att misstänka att en uppgift som behandlas i kreditupplysningsverksamhet eller som har lämnats i en kreditupplysning under den senaste tolvmånadersperioden är oriktig eller missvisande, eller att den annars har behandlats i strid med denna lag, ska den som bedriver verksamheten utan dröjsmål vidta skäliga åtgärder för att utreda förhållandet.
Visar det sig att uppgiften är oriktig eller missvisande, eller att den annars har behandlats i strid med lagen, ska den, om den förekommer i register, rättas, kompletteras eller uteslutas ur registret.
Om en oriktig eller missvisande uppgift har tagits in i en kreditupplysning som lämnats ut, ska rättelse eller komplettering så snart det kan ske tillställas var och en som under den senaste tolvmånadersperioden fått del av uppgiften. Detta gäller inte offentliggörande av en kreditupplysning på ett sådant sätt som avses i tryckfrihetsförordningeneller yttrandefrihetsgrund-
lagen, utom när upplysningen tillhandahållits ur en databas enligt 1 kap. 9 § yttrandefrihetsgrundlagen på sätt som avses i den paragrafens första stycke 1 och 2.
Om en oriktig eller missvisande uppgift har tagits in i en kreditupplysning som lämnats ut, ska rättelse eller komplettering så snart det kan ske tillställas var och en som under den senaste tolvmånadersperioden fått del av uppgiften. Detta gäller inte offentliggörande av en kreditupplysning på ett sådant sätt som avses i tryckfrihetsförordningen.
Har uppgiften under den senaste tolvmånadersperioden lämnats i en periodisk skrift eller i en kreditupplysningsverksamhet som bedrivs genom återkommande offentliggöranden enligt yttrandefrihetsgrundlagen, ska rättelse eller komplettering så
4 Senaste lydelse 2010:1073.
Promemorians lagförslag Ds 2013:27
snart det kan ske införas i ett följande nummer av skriften eller motsvarande form av offentliggörande enligt yttrandefrihetsgrundlagen.
Andra–fjärde styckena gäller inte om uppgiften uppenbarligen saknar betydelse för bedömningen av vederbörandes vederhäftighet i ekonomiskt hänseende.
Har en fråga om rättelse eller liknande åtgärd tagits upp efter framställning från den som uppgiften avser, ska denne kostnadsfritt underrättas om huruvida en sådan åtgärd vidtagits.
1. Denna lag träder i kraft den 1 juli 2014.
2. I fråga om rättelse eller komplettering av en uppgift i en kreditupplysning som lämnats före ikraftträdandet gäller 12 § i dess äldre lydelse.
2. Ärendet
Ändringar i kreditupplysningslagen (1973:1173) trädde i kraft den 1 januari 2011. Då utvidgades tillämpningsområdet för vissa av lagens integritetsskyddande regler rörande bl.a. legitimt behov, kreditupplysningskopia samt rättelse. Lagändringarna innebar att dessa regler blev tillämpliga även på sådan kreditupplysningsverksamhet som faller in under den s.k. databasregeln (1 kap. 9 § första stycket 1 och 2 yttrandefrihetsgrundlagen). Utlämnande av kreditupplysningar via databaser, t.ex. över internet eller via tekniska upptagningar såsom digitala lagringsmedier, kom till följd härav att omfattas av skyddsregleringen. Skyddsregleringen gjordes dock inte tillämplig på tekniska upptagningar, t.ex. cd-skivor, som är utgivna med stöd av yttrandefrihetsgrundlagen. I lagstiftningsärendet uttalades att regeringen avsåg att följa utvecklingen och vidta lämpliga åtgärder, om de integritetsskyddande reglerna i kreditupplysningslagen skulle komma att kringgås (prop. 2009/10:151 s. 17).
Datainspektionen har i en skrivelse till regeringen år 2012 påtalat att nya slags förfaranden i fråga om utlämnande av kreditupplysningar genom utgivna tekniska upptagningar leder till skada för enskildas personliga integritet (Ju2012/2145/L2). Datainspektionen har därför begärt att regeringen ska utreda frågan om det är möjligt att låta sådana kreditupplysningstjänster omfattas av kreditupplysningslagens krav på legitimt behov och kreditupplysningskopia.
Också i andra lagstiftningsärenden har skyddet för den personliga integriteten i kreditupplysningssammanhang uppmärksammats. Integritetsskyddskommittén har i delbetänkandet
Ärendet Ds 2013:27
Skyddet för den personliga integriteten – kartläggning och analys (SOU 2007:22) konstaterat att skyddet för de enskildas integritet, som annars följer av kreditupplysningslagen, inte kan upprätthållas vid kreditupplysning via andra elektroniska kommunikationstjänster vid sidan av internet (a. bet. del 1 s. 139). Även i Yttrandefrihetskommitténs delbetänkande Grundlagsskydd för digital bio och andra yttrandefrihetsrättsliga frågor (SOU 2009:14) uttalas att brister finns i samband med kreditupplysningsverksamhet som bedrivs i databaser med grundlagsskydd (se vidare prop. 2009/10:81 s. 54). Yttrandefrihetskommittén har i slutbetänkandet En översyn av tryck- och yttrandefriheten (SOU 2012:55) berört frågor om kreditupplysning och grundlagsskydd samt lämnat förslag om ett förtydligande av 1 kap. 9 § 4 tryckfrihetsförordningen med avseende på frågor om legitimt behov och kreditupplysningskopia. Förslaget behandlas dock inte i denna promemoria.
Svenska Tidningsutgivareföreningen och Nyhetsbyrån Siren har i en skrivelse till regeringen motsatt sig Datainspektionens förslag om lagändring såvitt avser utgivna tekniska upptagningar samt föreslagit att kreditupplysningslagen ska ändras på så sätt att journalistiska ändamål ska anses utgöra ett legitimt behov vid utlämnande av kreditupplysning (Ju2012/4244/L2).
Svensk Försäkring har i en skrivelse till regeringen invänt mot Datainspektionens förslag avseende tekniska upptagningar (Ju2012/2145/L2). Därvid har anförts att tillgången till kreditupplysningar är av stor betydelse vid utredningar av oklara försäkringsfall i syfte att stävja försäkringsbedrägerier. Svensk Försäkring har begärt att kreditupplysningslagen ska ändras dels på så sätt att ett försäkringsbolags utredning av ett eventuellt försäkringsbedrägeri ska anses innebära ett legitimt behov i kreditupplysningslagens mening, dels genom att någon kreditupplysningskopia inte ska behöva skickas ut i dessa fall.
Svenska Bankföreningen har i en skrivelse till regeringen anfört att det finns starka skäl för att ha kvar möjligheten för banker att kunna inhämta kreditupplysningar i syfte att fullgöra skyldigheter till följd av regleringen om penningtvätt och att
Ärendet
detta ska kunna göras utan krav på att skicka en kreditupplysningskopia (Ju2012/2145/L2).
3. Kreditupplysningsverksamhet
Kreditupplysningslagen och skyddet för enskildas personliga integritet
Kreditupplysningslagen syftar i första hand till att undanröja riskerna för att kreditupplysningar ska medföra otillbörligt intrång i enskildas personliga integritet. Samtidigt är lagen avsedd att bidra till en effektivt fungerande kreditupplysningsverksamhet.
Med kreditupplysning avses uppgifter, omdömen eller råd som lämnas till ledning för bedömning av någon annans kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende (2 §). En kreditupplysning består främst av ekonomisk information, såsom uppgifter om inkomster, fastighetsinnehav och betalningsförsummelser. Även andra uppgifter kan ingå, t.ex. uppgifter om civilstånd och andra personuppgifter. Uppgifterna är ofta av känslig karaktär och kan utnyttjas till men för den enskilde.
Kreditupplysningslagen innehåller en rad bestämmelser som är avsedda att skydda den enskildes integritet. Generellt gäller att kreditupplysningsverksamhet ska bedrivas så att den inte leder till otillbörligt intrång i den personliga integriteten genom innehållet i de upplysningar som förmedlas eller på annat sätt (5 §).
Av betydelse för integritetsskyddet är bl.a. till vem en kreditupplysning lämnas. Kreditupplysningar om fysiska personer som inte är näringsidkare får inte lämnas ut, om det finns anledning anta att upplysningen kommer att användas av någon annan än
Kreditupplysningsverksamhet Ds 2013:27
den som på grund av ett ingånget eller ifrågasatt kreditavtal eller av någon liknande anledning har behov av upplysningen, ett s.k. legitimt behov (9 §). I förarbetena till bestämmelsen uttalas att det inte är möjligt att uttömmande ange de fall då en beställare ska anses ha ett legitimt behov av kreditupplysning, men att det i princip bör krävas att det mellan beställaren och den som avses med kreditupplysningen föreligger eller förbereds ett avtal eller annat rättsförhållande som nödvändiggör en riskbedömning av ekonomisk art. Det är fallet, sägs det, vid kreditavtal samt i t.ex. borgens-, anställnings- och hyressammanhang (se prop. 1973:155 s. 148).
När en kreditupplysning om en fysisk person lämnas ut, ska till den som avses med upplysningen samtidigt och kostnadsfritt sändas ett skriftligt meddelande om de uppgifter som upplysningen innehåller och vem som har begärt upplysningen, jämte vissa andra uppgifter (11 §). I regel innebär detta att en kopia av upplysningen skickas.
Om en uppgift i ett register visar sig vara oriktig eller missvisande eller har behandlats i strid med kreditupplysningslagen, ska kreditupplysningsföretaget som huvudregel sända en rättelse eller komplettering till var och en som under den senaste tolvmånadersperioden fått del av uppgiften (12 §).
Kreditupplysningslagen innehåller även bestämmelser om straff för brott mot vissa bestämmelser i lagen, t.ex. i fråga om utlämnande av en kreditupplysning utan att det finns ett legitimt behov (19 §).
I kreditupplysningslagen finns ett antal undantag från de integritetsskyddande bestämmelserna i lagen för sådan kreditupplysningsverksamhet som består i offentliggörande av kreditupplysningar på ett sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Undantagen gäller dock inte upplysningar som lämnas ur en databas enligt vissa bestämmelser i den s.k. databasregeln. I de fall som undantas gäller inte kravet på att den som efterfrågar upplysningen ska ha ett legitimt behov. Inte heller måste en kreditupplysningskopia sändas till den som avses med upplysningen. Undantag gäller
Ds 2013:27 Kreditupplysningsverksamhet
också för skyldigheten att sända en rättelse eller komplettering till var och en som har mottagit en upplysning med en oriktig eller missvisande uppgift eller en uppgift som har behandlats i strid med lagen.
Förstärkningen av integritetsskyddet år 2011
Genom ändringarna i kreditupplysningslagen år 2011 stärktes den enskildes personliga integritet i samband med kreditupplysning (se prop. 2009/10:151). Ändringarna tog sikte på sådan kreditupplysningsverksamhet som sker genom att kreditupplysningar tillhandahålls ur grundlagsskyddade databaser, t.ex. via internet. I dessa fall var, som framgått ovan, flera av kreditupplysningslagens integritetsskyddande bestämmelser dessförinnan inte tillämpliga. För att stärka skyddet för den enskilde gjordes kraven på legitimt behov, kreditupplysningskopia samt rättelse eller komplettering tillämpliga också när kreditupplysningar lämnas ur databaser, t.ex. genom internet.
Beträffande tekniska upptagningar som inte är anknutna till databaser uttalade regeringen följande (se a. prop. s. 17).
Det kan i sammanhanget uppmärksammas att databasregeln även gäller då någon på särskild begäran tillhandahåller kreditupplysningar ur en databas indirekt genom framställning av en teknisk upptagning (1 kap. 9 § första stycket 1 yttrandefrihetsgrundlagen). Kreditupplysningar kan också lämnas i tekniska upptagningar som är utgivna. I så fall kan grundlagsskydd enligt 1 kap. 10 § yttrandefrihetsgrundlagen gälla. Kreditupplysningarna i sådana upptagningar tillhandahålls då inte på ett sätt som avses i databasregeln i 1 kap. 9 §. Förhållandena är beträffande dessa upptagningar annorlunda och kan på många sätt likställas med kreditupplysningar i tryckt skrift. Innehållet i upptagningen är bestämt redan i samband med färdigställandet av den, vilket påverkar såväl tillgängligheten till informationen som priset för den. Intresset av att anskaffa sådana tekniska upptagningar torde vara begränsat hos andra än de som har ett legitimt behov av kreditupplysningar. Härtill kommer att de skäl av praktisk art som motiverar särregleringen för kreditupplysningar
Kreditupplysningsverksamhet Ds 2013:27
i tryckt skrift gör sig gällande även i förhållande till dessa tekniska upptagningar. Någon lagändring med avseende på sådana tekniska upptagningar föreslås därför inte. Regeringen avser dock att följa utvecklingen och vidta lämpliga åtgärder om de integritetsskyddande reglerna i kreditupplysningslagen skulle komma att kringgås.
Utvecklingen på kreditupplysningsmarknaden
I dag finns det i Sverige ett tiotal kreditupplysningsföretag med rikstäckande verksamhet som har Datainspektionens tillstånd att bedriva kreditupplysningsverksamhet. I praktiken lämnas dock de allra flesta upplysningarna av ett fåtal stora kreditupplysningsföretag. Dessa har skapat dataregister som i princip innehåller uppgifter om alla fysiska personer över 15 år i Sverige och om alla juridiska personer i landet.
Sedan början av 2000-talet lämnas kreditupplysningar huvudsakligen via databaser på internet. Redan ett halvår efter det att ändringarna i kreditupplysningslagen år 2011 trätt i kraft, hade några kreditupplysningsföretag tagit fram nya kreditupplysningstjänster. Dessa företag lämnar ut kreditupplysningar genom att använda tekniskt komplicerade metoder där usb-minnen med krypterad kreditupplysningsinformation kombineras med internetsökningar gentemot databaser.
Enligt vad som framgår av Datainspektionens skrivelse till regeringen samt information som finns tillgänglig på de aktuella kreditupplysningsföretagens hemsidor på internet, kan innebörden av de nya tjänsterna beskrivas enligt följande.
– Det är möjligt för vem som helst att på ett lättillgängligt sätt ta del av kreditupplysningar om fysiska personer.
– Beställaren av kreditupplysningen har obegränsade möjligheter att själv precisera vilken information som denne vill förvärva.
– Priset för tjänsten beror på hur många kreditupplysningar som kunden väljer att ta fram.
Ds 2013:27 Kreditupplysningsverksamhet
– Kreditupplysningsinformationen uppdateras regelbundet och behöver aldrig vara äldre än sju dagar.
Datainspektionen har i sin tillsynsverksamhet bedömt att tillvägagångssättet med usb-minne träffas av det undantag som gäller för utgivna tekniska upptagningar enligt yttrandefrihetsgrundlagen och därmed inte omfattas av de nämnda skyddsreglerna i kreditupplysningslagen.
Vilka tar del av kreditupplysningar via usb-minne?
Det saknas säkra uppgifter om vilka som beställer kreditupplysningar via de nya tjänsterna och i vilken omfattning det sker. Allmänt sett är det dock rimligt att anta att de nya kreditupplysningstjänsterna efterfrågas av dem som anser sig ha behov av kreditupplysningar, men som inte uppfyller kreditupplysningslagens krav på legitimt behov av upplysningen eller inte önskar att en kreditupplysningskopia ska skickas till den omfrågade. Det är också antagligt att kunderna till övervägande del består av företag. Vid kontakter med Datainspektionen har framkommit att de nya tjänsterna sannolikt används av bl.a. olika slags tjänsteföretag, t.ex. energi-, telefoni-, marknadsförings- och uthyrningsföretag. Det är också sannolikt att kreditupplysningar inhämtas utanför det användningsområde som ett tecknat abonnemang egentligen är avsett för, t.ex. av arbetstagare med tillgång till ett abonnemang. Det torde dock vara mindre vanligt att privatpersoner abonnerar på tjänsterna, eftersom den fasta kostnaden för ett abonnemang är relativt hög och usb-minnet måste skickas per brev, vilket motverkar impulsköp.
Därtill kommer vissa mer specifika användningsområden enligt de skrivelser till regeringen som inledningsvis redogjorts för. Sålunda använder massmedia tjänsterna i sin verksamhet, försäkringsbolagen för att utreda misstänkta försäkringsbedrägerier och bankerna i arbetet för att motverka penningtvätt.
Kreditupplysningsverksamhet Ds 2013:27
En remittering av denna promemoria torde ge större klarhet i frågor om såväl kundkretsen som omfattningen av utlämnande av kreditupplysningar genom utgivna tekniska upptagningar.
Närmare om kreditupplysningstjänsterna via usb-minnen
De nya tjänsterna går som nämnts ut på att krypterade kreditupplysningar tillhandahålls på usb-minnen, i kombination med internetsökning för dekryptering av informationen. Tjänsterna kan utformas på ett stort antal olika sätt, men är i allmänhet utformade enligt följande.
Kreditupplysningsföretaget skickar per brev ut ett usb-minne till abonnenten av tjänsten. På usb-minnet finns kreditupplysningsinformation lagrad som omfattar hela Sveriges befolkning över 15 år. Uppgifterna kan avse t.ex. inkomst, förekomst av betalningsförsummelser, fastighetsinnehav och omdömen avseende kreditvärdighet.
I princip kan vilken fysisk eller juridisk person som helst abonnera på tjänsten. Någon prövning av om kunden har ett legitimt behov av kreditupplysningarna görs inte.
Det är i allmänhet av stor vikt för användare av kreditupplysningar att informationen är korrekt och aktuell. Kreditupplysningar i kreditupplysningsföretagens databaser som lämnas ut on-line över internet är därför i regel maximalt uppdaterade i förhållande till myndighetsregistren. Det innebär i allmänhet att uppgifterna, beroende på slag, uppdateras alltifrån dagligen till en gång per vecka. Den kreditupplysningsinformation som lämnas via usb-minne hålls förhållandevis aktuell genom att uppdaterade utgåvor av usb-minnen skickas ut till kunden. Intervallet av dessa utskick varierar mellan en och fyra veckor.
Eftersom kreditupplysningsinformationen på usb-minnet är krypterad, behövs en dekrypteringsnyckel för att göra informationen läsbar för kunden. När abonnenten vill få tillgång till viss del av kreditupplysningsinformationen på usb-minnet, behöver denne logga in på kreditupplysningsföretagets hemsida och i en
Ds 2013:27 Kreditupplysningsverksamhet
sökning ange den eller de personer som kreditupplysning begärs om. I det sammanhanget är allmän personinformation ur folkbokföringen tillgänglig på hemsidan, utan att abonnenten behöver betala särskilt för detta. Sökningen kan ske utifrån skilda kriterier såsom personnummer, namn, folkbokföringsadress, m.m. Abonnenten anger därefter vem som kreditupplysningen ska avse. Härvid kan abonnenten välja olika slags kreditupplysningsinformation till varierande kostnad, utifrån vilket slags information som är av intresse. Frågeställningen kan t.ex. begränsas till att avse inkomst, betalningsförsummelser eller fastighetsinnehav.
När urvalet skett erhålls omedelbart på internet en dekrypteringsnyckel, i form av en teckenserie. Nyckeln används sedan som lösenord gentemot usb-minnet efter att detta anslutits till abonnentens dator. Abonnenten får då i klartext tillgång till den kreditupplysning som specifikt begärts. I slutändan har abonnenten således, genom att usb-minnet används som lagringsmedium, erhållit information av sådant slag som, om enbart internet hade använts, vore åtkomlig endast under förutsättning att beställaren hade ett legitimt behov och en kreditupplysningskopia skulle skickas.
Priset för de nya tjänsterna varierar beroende på form av abonnemang, uppdateringsfrekvens av informationen, antalet efterfrågade kreditupplysningar samt omfattningen av dessa.
Regleringen av kreditupplysningar via utgivna tekniska upptagningar
Under vissa förutsättningar blir alltså kreditupplysningslagens skyddsregler inte tillämpliga när kreditupplysningar lämnas ut på en teknisk upptagning. Regler om utlämnandet finns i såväl yttrandefrihetsgrundlagen som kreditupplysningslagen.
Med teknisk upptagning avses upptagningar som innehåller text, bild eller ljud och som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel (1 kap. 1 § fjärde
Kreditupplysningsverksamhet Ds 2013:27
stycket yttrandefrihetsgrundlagen). Exempel på sådana tekniska upptagningar är usb-minne, cd- och dvd-skiva. Det medium som i dag används för de nya tjänsterna, alltså usb-minne, är ett digitalt lagringsmedium i litet fysiskt format men med mycket stor lagringskapacitet. Kostnaden för ett usb-minne är i förhållande till lagringskapaciteten numera låg.
Kreditupplysningar som lämnas ut på tekniska upptagningar är inte utan vidare undantagna från kreditupplysningslagens skyddsregler. Tvärtom är utgångspunkten att tekniska upptagningar träffas av databasregeln i 1 kap. 9 § yttrandefrihetsgrundlagen, och därmed omfattas av kreditupplysningslagen. Förutsättningen för undantag från kreditupplysningslagens skyddsregler är att informationen lämnas ut på en teknisk upptagning som omfattas av bestämmelsen om utgivna tekniska upptagningar i 1 kap. 10 § yttrandefrihetsgrundlagen. En upptagning anses vara utgiven då den har lämnats för att spridas till allmänheten i Sverige genom att spelas upp, säljas eller tillhandahållas på annat sätt. I fråga om tekniska upptagningar som sprids genom utlämnande av exemplar krävs det att dessa framställs, eller avses att framställas, i tillräckligt många exemplar för att kunna lämnas ut för spridning till andra än dem som befinner sig i en mindre, sluten krets (se SOU 2012:55 s. 169). I rättspraxis har det uppställts krav på en upplaga av den tekniska upptagningen om minst ett tiotal exemplar inom ungefär en månad för att bestämmelsen ska anses tillämplig (se rättsfallet NJA 2002 s. 281). Därvid är att beakta att en ny upplaga föreligger om innehållet ändras. Vidare anses ett nytt tillfälle för framställning också innebära en ny upplaga. Ett tiotal likadana exemplar som framställs inom högst en månad anses alltså utgöra en gemensam upplaga.
Undantagen från skyddsreglerna gäller för alla slags utgivna tekniska upptagningar. Utlämnandet kan alltså lika väl ske på cdskiva som på usb-minne, eftersom det inte är avgörande vilket slags informationsbärare som används, så länge det är fråga om en teknisk upptagning. Att informationen på den tekniska upptagningen är krypterad påverkar inte heller bedömningen av
Ds 2013:27 Kreditupplysningsverksamhet
om upplysningen är utgiven, förutsatt att kreditupplysningsföretaget eller någon annan har möjlighet att dekryptera informationen. Abonnenten kan i princip ges tillgång till all den kreditupplysningsinformation som finns på den tekniska upptagningen, dvs. i praktiken kreditupplysningsföretagets hela register om Sveriges alla fysiska personer. En närmare sökning av den person som ska omfrågas, via databaser på internet eller på annat sätt, är inte ett nödvändigt inslag.
Är det fråga om en utgiven teknisk upptagning enligt 1 kap. 10 § yttrandefrihetsgrundlagen blir, som framgått, flera av kreditupplysningslagens skyddsregler inte tillämpliga. Detta beror på att sådana utgivanden omfattas av de undantag som finns i de nu aktuella skyddsbestämmelserna i kreditupplysningslagen. I dessa bestämmelser görs generella undantag för offentliggöranden på sätt som avses i yttrandefrihetsgrundlagen, utom såvitt avser vissa slags tillhandahållanden enligt databasregeln i 1 kap. 9 § yttrandefrihetsgrundlagen. Innebörden av dessa undantag i kreditupplysningslagen är alltså att kravet på att det ska finnas ett legitimt behov av kreditupplysningen hos beställaren faller bort (9 §). Vidare undgås det annars gällande kravet på kreditupplysningskopia (11 §). Dessutom behöver rättelse av oriktig eller missvisande uppgift i kreditupplysningen inte ske (12 §). Även det åtföljande straffansvaret bortfaller (19 §
)
.
Skyddsreglerna och de nya kreditupplysningstjänsterna
När det gäller tillämpningen av regleringen i yttrandefrihetsgrundlagen och kreditupplysningslagen på de nu aktuella kreditupplysningstjänsterna via usb-minne kan följande sägas. Tjänsterna innefattar till att börja med, genom utskicket av usbminnet, ett utlämnande av kreditupplysning via utgiven teknisk upptagning. I det efterföljande skedet, när abonnenten anger vilka upplysningar som önskas bli läsbara, tillhandahålls personuppgifter ur databaser på internet, vilket allmänt sett kan
Kreditupplysningsverksamhet Ds 2013:27
aktualisera databasregeln i 1 kap. 9 § yttrandefrihetsgrundlagen och som en följd även kreditupplysningslagens skyddsregler. Tekniskt sammansatta förfaranden vid utlämnanden av kreditupplysningar gör att rättsliga bedömningar av vilka slags utlämnanden som det är fråga om inte alltid är självklara. Den tekniska utvecklingen har medfört att skillnaden mellan olika former av utlämnanden av kreditupplysningar kan vara små. Olika tekniker för utlämnandet, och kombinationer därav, kan ge samma slutresultat i fråga om vilken kreditupplysning som lämnas ut och till vem, men ändå behandlas på olika sätt vid tillämpningen av de integritetsskyddande reglerna. Av Datainspektionens skrivelse till regeringen framgår att myndigheten har bedömt att de nya tjänsterna är undantagna från de aktuella skyddsreglerna i kreditupplysningslagen.
4. Ett starkare och hållbart integritetsskydd vid kreditupplysning genom nya medier
Förslag: När en kreditupplysning tillhandahålls på sätt som
avses i yttrandefrihetsgrundlagen, t.ex. via utgivna tekniska upptagningar, ska det alltid krävas att beställaren av kreditupplysningen har ett legitimt behov av upplysningen och att en kreditupplysningskopia skickas till den som kreditupplysningen avser. Det ska finnas ett straffansvar för överträdelser av dessa bestämmelser. Vidare ska det finnas en skyldighet att rätta eller komplettera oriktiga eller missvisande uppgifter.
Skälen för förslaget
Brister i skyddet för den enskildes personliga integritet
På grund av att kreditupplysningslagens skyddsregler för den personliga integriteten inte omfattar de nya kreditupplysningstjänsterna uppkommer framför allt två allvarliga brister i skyddet för den enskildes personliga integritet.
För det första kan en kreditupplysning om en enskild person lämnas ut trots att beställaren av kreditupplysningen inte har ett legitimt behov av den. Vem som helst kan alltså få reda på ofta känsliga uppgifter om vilken fysisk person som helst i Sverige.
Ett starkare och hållbart integritetsskydd vid kreditupplysning Ds 2013:27
Detta innebär en påtaglig integritetskränkning. Eftersom huvudregeln om att det ska finnas ett i vart fall påtänkt kreditavtal mellan beställaren och den omfrågade bortfaller, förlorar den omfrågade möjligheten att styra över vem som kan ta del av kreditupplysningar om honom eller henne. Omfattningen av integritetskränkningen kan vara avsevärd, eftersom en mängd uppgifter av ekonomisk betydelse och personuppgifter lämnas ut, dessutom snabbt och lättåtkomligt. Även om upplysningen endast skulle innehålla uppgifter av förhållandevis banal karaktär, måste det uppfattas som integritetskränkande om någon annan än den som har ett legitimt behov får del av upplysningen (se prop. 1973:155 s. 104 och prop. 2009/10:151 s. 16).
För det andra kan kreditupplysningar lämnas ut utan att någon kreditupplysningskopia skickas till den som kreditupplysningen avser. Följden blir att den omfrågade inte får kännedom om att en kreditupplysning har lämnats ut. Utlämnandet blir inte synligt för någon annan än beställaren och det utlämnande kreditupplysningsföretaget. Därigenom fråntas den omfrågade i praktiken också möjligheten att få felaktiga uppgifter rättade eller kompletterade.
Skadeverkningarna kan i praktiken vara betydande för den enskilde. Företag, myndigheter och andra kan oavsett bevekelsegrund ta del av en kreditupplysning, vilket kan leda till olika slags skador för den enskilde i och med att kreditupplysningen kan läggas till grund för viktiga beslut som rör denne. Eftersom den omfrågade inte får kännedom om utlämnandet och beställarens användning av informationen, finns det risk för att även felaktiga uppgifter läggs till grund för beslut utan att felen uppdagas. Ett annat exempel är att en nyfiken granne eller arbetskamrat tar del av den enskildes ekonomiska förhållanden, vilket innebär en integritetskränkning i sig. Det finns heller inget som hindrar att beställaren förblir anonym eller att uppgifterna sprids vidare. Uppgifterna kan också utnyttjas i brottsligt syfte, t.ex. för olika slags bedrägeribrott. Sammanfattningsvis kan sägas att bortfallet av kravet på legitimt behov har medfört en skyddslöshet i fråga
Ds 2013:27 Ett starkare och hållbart integritetsskydd vid kreditupplysning
om kreditupplysningar rörande enskilda som är opåkallad och påtaglig.
Dessutom behöver rättelse av en oriktig eller missvisande uppgift i kreditupplysningen inte ske. Även det åtföljande straffansvaret bortfaller, eftersom straffbestämmelserna endast berör sådant utlämnande som omfattas av kreditupplysningslagens regler.
Den faktiska omfattningen av de nämnda problemen är svår att uppskatta. Datainspektionen har inte utövat tillsyn i fråga om grundlagsskyddade tillhandahållanden. Det finns alltså inga säkra uppgifter rörande omfattningen av kreditupplysningar som lämnas ut genom utgivna tekniska upptagningar och följaktligen inte heller om antalet fall där det saknas legitimt behov. Även om det är oklart både hur många kreditupplysningar som lämnas ut på sådant sätt och hur många olika abonnenter eller användare som det rör sig om, kan det antas att det rör sig om ett avsevärt antal. Problemens omfattning kan också förväntas växa snabbt, eftersom de nya kreditupplysningstjänsterna innebär att upplysningarna tillhandahålls på ett enkelt och snabbt sätt samt efterfrågan av tjänsterna ökar i takt med att allt fler får kännedom om dessa.
De nya förfarandena medför inte någon teknisk eller praktisk fördel jämfört med tillhandahållande via internet. Tvärtom kan den kreditupplysningsinformation som lämnas via usb-minne inte hållas lika aktuell som den som finns on-line via internet. Kvaliteten på informationen som lämnas i de nya tjänsterna är således ofta sämre än annars. Mot den bakgrunden kan det antas att de nya tjänsterna utformats för att åsidosätta kreditupplysningslagens integritetsskyddande regler.
Utan en lagskärpning kan det förväntas att än fler kreditupplysningsföretag av konkurrensskäl kommer att tillhandahålla liknande tjänster. Detta riskerar att förvärra problemen och leda till ännu större skada för enskildas personliga integritet.
Sammantaget får det anses att lagstiftningen inte längre motsvarar det högt ställda krav på skydd för den personliga integriteten som bör eftersträvas i kreditupplysningsverksamhet.
Ett starkare och hållbart integritetsskydd vid kreditupplysning Ds 2013:27
Därför bör utlämnanden av kreditupplysningar genom de nya tjänsterna omfattas av samma integritetsskyddande regler som i allmänhet gäller, t.ex. när kreditupplysningar lämnas genom internet.
En teknikoberoende lagstiftning krävs för ett långsiktigt integritetsskydd
Om en lagskärpning tog sikte endast på utlämnande av kreditupplysningar via utgivna tekniska upptagningar, finns det en uppenbar risk för att andra slags kreditupplysningstjänster kan komma att tillskapas i kringgående syfte. Det bör därför övervägas om undantaget från kreditupplysningslagens skyddsregler, som i dag gäller även vissa andra slags tekniker och sätt för offentliggöranden enligt yttrandefrihetsgrundlagen, ska slopas.
Yttrandefrihetsgrundlagen är tillämplig på ett antal olika sätt för offentliggöranden. Lagen gäller ljudradio, television och vissa liknande överföringar, offentliga uppspelningar ur en databas samt filmer, videogram, ljudupptagningar och andra tekniska upptagningar (1 kap. 1 § yttrandefrihetsgrundlagen). Vad som i grundlagen sägs om radioprogram gäller förutom program i ljudradio också program i television och innehållet i vissa andra överföringar av ljud, bild eller text som sker med hjälp av elektromagnetiska vågor samt innehållet i vissa offentliga uppspelningar ur en databas.
Det finns alltså ett antal andra möjliga tekniker och sätt för offentliggöranden enligt yttrandefrihetsgrundlagen som på sikt kan komma att användas för utlämnande av kreditupplysningar i syfte att kringgå kreditupplysningslagens skyddsregler. Det går i dag inte att med visshet förutse vilka tekniker som kan komma att användas för kreditupplysningsändamål. För att säkerställa ett långsiktigt hållbart skydd för den enskildes personliga integritet är det mot den bakgrunden önskvärt att kreditupplysningslagens skyddsregler blir heltäckande.
Ds 2013:27 Ett starkare och hållbart integritetsskydd vid kreditupplysning
Det finns inga bärande skäl för att skyddsreglernas tillämplighet ska vara beroende av om utlämnandet sker på ett visst tekniskt sätt. Det är heller inte lämpligt att straffansvaret enligt kreditupplysningslagen skiljer sig åt av rent tekniska skäl. Om tekniken blir avgörande, finns risken att straffansvaret upplevs som godtyckligt och svårt att förutse.
Det är också av vikt för förtroendet för kreditupplysningsbranschen i allmänhet att skyddsreglerna efterlevs på ett ändamålsenligt och förutsebart sätt. Det ska inte innebära en konkurrensfördel på kreditupplysningsmarknaden att tillskapa affärsmetoder vars syfte är att kringgå den integritetsskyddande lagstiftningen. Sådana metoder ska inte ges utrymme att tränga undan ansvarstagande kreditupplysningsverksamhet där enskildas personliga integritet respekteras.
De skäl som tidigare har motiverat undantagen från kreditupplysningslagen för utgivna tekniska upptagningar, och som redovisas i avsnitt 3, är inte längre giltiga i alls samma utsträckning. Som framgått ovan kan skillnaderna mellan olika former av utlämnanden numera vara små. Vidare är det tydligt att de nya tjänsterna via utgivna tekniska upptagningar ger möjlighet för kreditupplysningsföretaget att kontrollera om beställaren av uppgifterna har ett legitimt behov. Till exempel kan kreditupplysningsföretaget, när det mottar den slutliga beställningen i samband med att dekrypteringsnyckel till usb-minne tillhandahålls på internet, samtidigt säkerställa att beställaren har ett legitimt behov.
En teknikoberoende lagstiftning krävs vidare för att undvika gränsdragningsproblem mellan sådana utlämnanden av kreditupplysningar som omfattas av kreditupplysningslagens skyddsregler och sådana som inte gör det. Datainspektionens möjligheter att utöva tillsyn över kreditupplysningsverksamheten förbättras också. En teknikneutral reglering, som gäller alla slags tekniker och förfaranden för utlämnanden, undanröjer risken för att även små tekniska skillnader får avgörande betydelse för den rättsliga bedömningen av ett utlämnande och därmed också för skyddet av den enskildes personliga integritet.
Ett starkare och hållbart integritetsskydd vid kreditupplysning Ds 2013:27
Det avgörande för skyddet för den enskildes personliga integritet bör vara ändamålet med utlämnandet av kreditupplysningen, inte tekniken och sättet på vilket utlämnandet sker. Ett sådant förhållningssätt är också väl förenligt med avsikterna vid kreditupplysningslagens tillkomst. När det är praktiskt möjligt bör utlämnanden av kreditupplysningar bedömas enligt samma regler. Detta innebär alltså en återgång till den ordning som tidigare och under lång tid har gällt som huvudregel, nämligen att det vid utlämnande av kreditupplysning om enskilda ska krävas legitimt behov, kreditupplysningskopia och rättelse av felaktiga upplysningar. Även det åtföljande straffansvaret bör gälla i motsvarande mån.
Sammanfattningsvis blir bedömningen alltså att samtliga sätt för offentliggörande av kreditupplysningar som omfattas av yttrandefrihetsgrundlagen bör omfattas av de nu aktuella integritetsskyddande reglerna i kreditupplysningslagen. En sådan utvidgning av lagens tillämpningsområde skapar likställighet mellan olika slags utlämnanden och förutsebarhet vid tillämpningen av kreditupplysningslagen. Därigenom ges också legitimitet till straffbestämmelserna.
Beträffande kreditupplysning som lämnas ut genom tryckta skrifter med stöd av tryckfrihetsförordningen görs emellertid i promemorian samma bedömning som tidigare. Undantaget för sådant utlämnande har motiverats av praktiska skäl. För utgivaren av en tryckt publikation är det inte möjligt att i förväg veta vem som kommer att ta del av den. Ett krav på att i förväg kontrollera att alla som tar del av kreditupplysningar har ett legitimt behov av informationen skulle i praktiken riskera att omöjliggöra utgivningen. Detsamma kan sägas om kravet på att skicka en rättelse eller komplettering av en oriktig uppgift till alla som har tagit del av uppgiften (jfr prop. 1973:155 s. 132). Dessa former av offentliggöranden berörs därmed inte av de föreslagna lagändringarna.
Ds 2013:27 Ett starkare och hållbart integritetsskydd vid kreditupplysning
Ändringarna kan genomföras utan grundlagsändring
De föreslagna lagändringarna i kreditupplysningslagen, som också har betydelse för tillämpningen av yttrandefrihetsgrundlagen, aktualiserar frågan om det krävs en föregående ändring i grundlag. Samma principiella fråga bedömdes ingående i samband med lagstiftningsärendet för 2011 års ändringar (prop. 2009/10:151 s. 15 f.). Promemorians bedömning tar sin utgångspunkt i det ärendets överväganden och slutsatser. Grunderna för bedömningen är således i huvudsak följande.
I enlighet med 1 kap. 12 § första stycket yttrandefrihetsgrundlagen jämförd med 1 kap. 9 § 4 tryckfrihetsförordningen finns det i fråga om offentliggöranden i grundlagsskyddade medier möjlighet att i lag meddela föreskrifter om förbud mot offentliggörande i yrkesmässig kreditupplysningsverksamhet av kreditupplysning, som innebär otillbörligt intrång i enskilds personliga integritet eller som innehåller oriktig eller missvisande uppgift. Detsamma gäller i fråga om ersättningsskyldighet för sådant offentliggörande samt om rättelse av oriktig eller missvisande uppgift. En förutsättning för den aktuella regleringen är alltså att den ryms inom det område som får regleras genom lag enligt de nämnda delegationsbestämmelserna i tryckfrihetsförordningen och yttrandefrihetsgrundlagen.
Möjligheten att i lag föreskriva krav på legitimt behov framgår inte uttryckligen av 1 kap. 9 § 4 tryckfrihetsförordningen. I förarbetena till bestämmelsen uttalas dock att det förhållandet att förbud kan föreskrivas mot integritetskränkande offentliggörande också innefattar möjlighet att föreskriva mindre omfattande begränsningar och att förena dessa med föreskrifter om påföljd (prop. 1973:123 s. 50).
I sak görs samma bedömning för de nu aktuella förslagen. Ett utlämnande av en kreditupplysning, till annan än den som har ett legitimt behov av den, utgör ett intrång i den enskildes personliga integritet som är så opåkallat och påtagligt att det är att anse som otillbörligt. Den nu aktuella lagändringen är också väl förenlig med delegationsbestämmelsernas syfte, att i kredit-
Ett starkare och hållbart integritetsskydd vid kreditupplysning Ds 2013:27
upplysningslagen kunna föreskriva inskränkningar på grundlagens område till skydd för den enskildes personliga integritet. I förarbetena till bestämmelsen framhålls att informationen i kreditupplysningspublikationer är av sådan art att tryckfrihetsrättsliga hänsyn gör sig gällande i betydligt mindre grad än annars medan intresset att skydda den enskildes personliga integritet framträder med särskild styrka (prop. 1973:123 s. 49). Motsvarande bör också gälla för såväl tillhandahållanden av kreditupplysningar genom utgivna tekniska upptagningar som andra sätt för offentliggöranden som anges i yttrandefrihetsgrundlagen. Slutsatsen är alltså att den föreslagna lagändringen om krav på legitimt behov faller inom det område som får regleras i lag. Denna bedömning delades i det tidigare nämnda lagstiftningsärendet av bl.a. Lagrådet och Konstitutionsutskottet (Konstitutionsutskottet, yttrande 2009/10:KU8y).
5
När det gäller kravet på att lämna en kreditupplysningskopia gör sig i huvudsak samma överväganden gällande som i fråga om legitimt behov. För de enskilda som berörs innebär kravet att det finns möjlighet att kontrollera att de uppgifter som lämnas om dem är korrekta och fullständiga och att de regler som gäller för verksamheten har iakttagits, t.ex. att den som har mottagit kreditupplysningen har ett legitimt behov. Denna möjlighet till insyn och kontroll är viktig för skyddet för den enskildes personliga integritet.
Möjligheten att i lag meddela föreskrifter om rättelse av oriktig eller missvisande uppgift framgår uttryckligen av delegationsbestämmelsen.
Sammanfattningsvis är alltså bedömningen även i detta lagstiftningsärende att de aktuella ändringarna i kreditupplysningslagen kan genomföras utan grundlagsändring.
5 Fråga om grundlagsenligheten av vissa av 2011 års ändringar i kreditupplysningslagen har som en följd av ett tillsynsärende rörande ett kreditupplysningsföretag kommit under domstols prövning (Förvaltningsrätten i Stockholms dom den 1 november 2012 i mål nr 14578-11). Vid tiden för denna promemorias skrivande föreligger det emellertid inte någon lagakraftvunnen dom.
Ds 2013:27 Ett starkare och hållbart integritetsskydd vid kreditupplysning
Andra behov och ändamål kan inte beaktas i detta sammanhang
Som framgått har kreditupplysningar kommit att användas också i sammanhang där det saknas ett legitimt behov enligt kreditupplysningslagen. I de nämnda skrivelserna till regeringen har framställts önskemål om att kreditupplysningar, även efter en lagskärpning, ska få inhämtas också för andra syften än att minska risker för kreditförluster, dvs. också för andra syften än de som i dag utgör legitimt behov.
Det kan förstås finnas en rad olika slags situationer där kreditupplysningar kan komma till användning, ibland av skäl som i och för sig kan anses berättigade. Såvitt avser offentliga uppgifter i myndighetsregister, och som återges i kreditupplysningsregistren, kan även effektivitetsskäl anföras för att öka möjligheterna att lämna ut uppgifterna via kreditupplysningar; den intresserade behöver i så fall inte gå vägen via flera olika myndighetsregister.
Kreditupplysningslagens krav på legitimt behov är resultatet av en intresseavvägning mellan å ena sidan den enskildes intresse av skydd för den personliga integriteten, och å andra sidan andra intressen, framför allt behovet av en effektivt fungerande kreditupplysningsverksamhet (se prop. 1973:155 s. 21). Det förhållandet att ett visst intresse av att få ut en kreditupplysning inte utgör legitimt behov i kreditupplysningslagens mening innebär således inte nödvändigtvis att det aktuella intresset i och för sig bör anses obefogat.
Kreditupplysningslagen tar sikte på den situationen att någons kreditvärdighet ska bedömas i samband med ett avtal som innebär en ekonomisk risk. Användning av kreditupplysningar i brottsbekämpande eller journalistisk verksamhet – i den mån journalistisk verksamhet skulle gå att avgränsa i detta sammanhang – ligger utanför lagens avsedda tillämpningsområde. Redan i dag innehåller kreditupplysningslagen begränsningar i fråga om vilka uppgifter som får ingå såvitt avser bl.a. brott. I andra, för lagen främmande användningsområden, skulle andra krav aktualiseras och nya avvägningar behöva göras. Till
Ett starkare och hållbart integritetsskydd vid kreditupplysning Ds 2013:27
exempel skulle det i samband med utlämnande av kreditupplysningar i brottsbekämpande syften, bl.a. i fråga om försäkringsbedrägerier eller penningtvätt, av rättssäkerhetsskäl behöva övervägas strängare krav på uppgifterna och hanteringen av dessa. Ytterligare problem uppkommer av att kreditupplysningar är avsedda att användas i kreditupplysningsverksamhet. I andra sammanhang kan vissa slags uppgifter sakna värde, med följd att överflödig och känslig information då kan spridas till ingen nytta.
Kreditupplysningslagen är alltså inte utformad för de nya användningsområden som lyfts fram. Syftet med promemorians förslag är att säkerställa ett gott skydd för enskildas personliga integritet vid kreditupplysning med modern teknik. Avsikten är inte att vidga möjligheten att inhämta information genom kreditupplysningsverksamhet för användande i annan verksamhet. Huruvida det finns anledning att underlätta inhämtande av information för andra ändamål, får bedömas i annat sammanhang.
Det kan också, liksom i 2011 års lagstiftningsärende, framhållas att de föreslagna lagändringarna rörande krav på legitimt behov, kreditupplysningskopia samt rättelse endast träffar sådan kreditupplysningsverksamhet som är yrkesmässig (jfr de tidigare nämnda delegationsbestämmelserna i tryckfrihetsförordningen och yttrandefrihetsgrundlagen). Om kreditupplysningar lämnas genom offentliggörande i t.ex. nyhetsförmedling, gäller alltså inte kraven. Inte heller påverkas möjligheterna för dem som anser sig ha behovet att direkt från olika myndighetsregister inhämta offentliga uppgifter och som kan ingå i kreditupplysningar.
5. Ikraftträdande- och övergångsbestämmelser
Förslag: Lagändringarna ska träda i kraft den 1 juli 2014.
Kravet på att sända en rättelse eller komplettering av en oriktig eller missvisande uppgift i en kreditupplysning som tillhandahållits enligt yttrandefrihetsgrundlagen, ska inte gälla om kreditupplysningen har lämnats före ikraftträdandet.
Skälen för förslagen: Lagändringarna bör träda i kraft så
snart som möjligt.
Kraven på legitimt behov och kreditupplysningskopia enligt 9 resp. 11 § kreditupplysningslagen bör gälla för kreditupplysningar som tillhandahålls på de nu aktuella sätten efter ikraftträdandet. Kraven är straffsanktionerade enligt 19 §. Av grunderna för 5 § brottsbalkens promulgationslag följer att lagändringarna inte får ges retroaktiv verkan. I dessa avseenden behövs alltså ingen övergångsreglering.
En övergångsbestämmelse bör dock införas när det gäller kravet på att tillställa var och en som tagit del av en felaktig uppgift i en kreditupplysning rättelse eller komplettering. Detta krav bör inte gälla för en kreditupplysning som tillhandahålls på nu aktuella sätt före ikraftträdandet.
6. Konsekvenser
Bedömning: Skyddet för den enskildes personliga integritet i
samband med kreditupplysning stärks. Endast beställare som har ett legitimt behov ska kunna inhämta en kreditupplysning. Förslagen bedöms inte öka kostnaderna för det allmänna. Kostnaden för en kreditupplysning via usb-minne bedöms öka, eftersom en kreditupplysningskopia ska skickas även i detta fall.
Skälen för bedömningen
Konsekvenser för kreditupplysningsföretag
Efterfrågan på kreditupplysningar som lämnas via utgivna tekniska upptagningar, t.ex. usb-minnen, bedöms minska kraftigt eller helt bortfalla, eftersom upplysningarna med fördel kan lämnas enbart via internet. Några företag kan få ökade kostnader om kreditupplysningar ändå tillhandahålls genom en utgiven teknisk upptagning enligt bestämmelsen i 1 kap. 10 § yttrandefrihetsgrundlagen, eftersom sådant tillhandahållande inte längre ska undantas från kreditupplysningslagens integritetsskyddande bestämmelser om legitimt behov, kreditupplysningskopia samt meddelande vid rättelse och komplettering. Detta får dock anses vara en nödvändig anpassning av verksamheten till den reglering som bör gälla för skydd av den enskildes personliga integritet.
Förutsättningarna för konkurrens på lika villkor mellan kreditupplysningsföretagen förbättras i och med att samma
Konsekvenser Ds 2013:27
skyddsregler för den enskildes personliga integritet kommer att gälla i relevanta delar, oavsett på vilket sätt verksamheten bedrivs.
Konsekvenser för beställare av kreditupplysningar
Avsikten med förslaget är att endast beställare med legitimt behov ska kunna ta del av kreditupplysningar via utgivna tekniska upptagningar. I ett antal fall kommer således kreditupplysningar inte längre att kunna inhämtas. Som ovan angetts torde efterfrågan på kreditupplysningar som lämnas via utgivna tekniska upptagningar minska väsentligt eller helt upphöra. Det är troligt att en del beställare som använt sig av tekniska upptagningar kan drabbas av högre kostnader för kreditupplysningar, särskilt på grund av att en kreditupplysningskopia måste skickas till den omfrågade i varje enskilt fall.
Konsekvenser för enskilda som avses i kreditupplysningar
Genom förslagen stärks skyddet för enskildas personliga integritet väsentligt. Oro hos enskilda för integritetskränkningar torde minska, varför allmänhetens förtroende för kreditupplysningsbranschen och tillsynen över den också torde stärkas. Färre beslut kommer att fattas där kreditupplysning inhämtas som rör den enskilde utan denne blir medveten om att en kreditupplysning läggs till grund för beslutet. Den enskilde får därmed också en möjlighet att rätta felaktig information.
Statsfinansiella konsekvenser
De föreslagna ändringarna i kreditupplysningslagen bedöms inte öka kostnaderna för det allmänna. Datainspektionen förväntas fullgöra sin tillsynsverksamhet över kreditupplysningsföretagen
Ds 2013:27 Konsekvenser
utan att resursbehovet påverkas. Eventuella merkostnader finansieras inom Datainspektionens anslagsram. Förslagen torde inte beröra domstolarna eller andra myndigheter i märkbar omfattning.
Övriga konsekvenser
Förslagen bedöms inte medföra något behov av speciella informationsinsatser.
7. Författningskommentar
Förslaget till lag om ändring i kreditupplysningslagen (1973:1173)
9 § Kreditupplysningar om fysiska personer som inte är näringsidkare får inte lämnas ut, om det finns anledning att anta att upplysningen kommer att användas av någon annan än den som på grund av ett ingånget eller ifrågasatt kreditavtal eller av någon liknande anledning har behov av upplysningen.
Första stycket gäller inte offentliggörande av en kreditupplysning på ett sådant sätt som avses i tryckfrihetsförordningen.
Paragrafen behandlar frågan under vilka omständigheter en kreditupplysning om en fysisk person som inte är näringsidkare får lämnas ut. Det undantag som gäller enligt andra stycket inskränks så att det inte längre alls gäller offentliggöranden av kreditupplysningar enligt yttrandefrihetsgrundlagen.
Av första stycket följer att en kreditupplysning om någon som inte är näringsidkare inte får lämnas ut till någon annan än den som på grund av vissa angivna skäl har behov av den (s.k. legitimt behov). I andra stycket finns ett undantag från denna bestämmelse. Kravet på legitimt behov gäller inte om ett utlämnande av en kreditupplysning sker genom offentliggörande på ett sådant sätt som avses i tryckfrihetsförordningen. Kravet gäller däremot i alla övriga fall, däribland samtliga slags tillhandahållanden som sker genom offentliggörande på de sätt som avses i yttrandefrihetsgrundlagen. En sådan upplysning, som alltså omfattas av kravet på legitimt behov, kan tillhanda-
Författningskommentar Ds 2013:27
hållas beställaren på olika sätt. Denne kan få upplysningen t.ex. genom internet eller indirekt genom framställning av en teknisk upptagning, oavsett om den är utgiven i yttrandefrihetsgrundlagens mening eller ej, eller via en webb- eller radiosändning.
Som en följd av ändringen i förevarande paragraf vidgas det straffbara området som bestäms i 19 § till att gälla även i samtliga fall då en kreditupplysning tillhandahålls på ett sätt som avses i yttrandefrihetsgrundlagen utan att det finns något legitimt behov. Vidare är det straffbart att genom oriktiga uppgifter föranleda någon som bedriver kreditupplysningsverksamhet att lämna ut en kreditupplysning på sätt som avses i yttrandefrihetsgrundlagen, utan att det finns något legitimt behov.
Övervägandena finns i avsnitt 4.
11 § När en kreditupplysning om en fysisk person lämnas ut, ska till den som avses med upplysningen samtidigt och kostnadsfritt sändas ett skriftligt meddelande om
1. vem som bedriver kreditupplysningsverksamheten,
2. ändamålen med behandlingen,
3. de uppgifter, omdömen och råd som upplysningen innehåller om honom eller henne,
4. möjligheten att få rättelse av de uppgifter som rör honom eller henne, och
5. vem som har begärt upplysningen. Om kreditupplysningen lämnas ut till ett svenskt kreditinstitut eller värdepappersbolag, eller till ett motsvarande utländskt företag, för att användas endast som underlag för beräkning av kapitalkrav för kreditrisker med en sådan metod som avses i 4 kap. 7 § lagen (2006:1371) om kapitaltäckning och stora exponeringar, får meddelandet sändas senare men utan onödigt dröjsmål och begränsas till information enligt första stycket 1, 2 och 5. Om den som avses med upplysningen begär det, ska även information enligt 3 och 4 sändas till honom eller henne.
Första och andra styckena gäller också när en kreditupplysning lämnas om ett handelsbolag eller kommanditbolag.
Ds 2013:27 Författningskommentar
Första–tredje styckena gäller inte kreditupplysningar som lämnas genom offentliggörande på ett sådant sätt som avses i tryckfrihetsförordningen.
Paragrafen innehåller bestämmelser om skyldighet att när en kreditupplysning lämnas ut informera den person som avses med upplysningen. Skyldigheten uppfylls i regel genom att en kopia på kreditupplysningen med kompletterande information sänds till personen i fråga. Det undantag som gäller enligt fjärde stycket inskränks så att det inte längre alls gäller offentliggöranden enligt yttrandefrihetsgrundlagen.
I paragrafens fjärde stycke finns ett undantag från kravet på information när kreditupplysningen offentliggörs på sådant sätt som avses i tryckfrihetsförordningen. Genom ändringen gäller undantaget däremot inte längre för offentliggörande som sker på sätt som avses i yttrandefrihetsgrundlagen, utan i samtliga dessa fall gäller alltså kravet på kreditupplysningskopia.
Som en följd av ändringen i fjärde stycket är det straffbart att lämna en osann uppgift i ett meddelande enligt förevarande paragraf i samtliga de fall kreditupplysningen tillhandahålls på sätt som avses i yttrandefrihetsgrundlagen.
Övervägandena finns i avsnitt 4.
12 § Finns det anledning att misstänka att en uppgift som behandlas i kreditupplysningsverksamhet eller som har lämnats i en kreditupplysning under den senaste tolvmånadersperioden är oriktig eller missvisande, eller att den annars har behandlats i strid med denna lag, ska den som bedriver verksamheten utan dröjsmål vidta skäliga åtgärder för att utreda förhållandet.
Visar det sig att uppgiften är oriktig eller missvisande, eller att den annars har behandlats i strid med lagen, ska den, om den förekommer i register, rättas, kompletteras eller uteslutas ur registret.
Om en oriktig eller missvisande uppgift har tagits in i en kreditupplysning som lämnats ut, ska rättelse eller komplettering så snart det kan ske tillställas var och en som under den senaste tolvmånadersperioden fått del av uppgiften. Detta gäller inte offentliggörande av en
Författningskommentar Ds 2013:27
kreditupplysning på ett sådant sätt som avses i tryckfrihetsförordningen.
Har uppgiften under den senaste tolvmånadersperioden lämnats i en periodisk skrift eller i en kreditupplysningsverksamhet som bedrivs genom återkommande offentliggöranden enligt yttrandefrihetsgrundlagen, ska rättelse eller komplettering så snart det kan ske införas i ett följande nummer av skriften eller motsvarande form av offentliggörande enligt yttrandefrihetsgrundlagen.
Andra–fjärde styckena gäller inte om uppgiften uppenbarligen saknar betydelse för bedömningen av vederbörandes vederhäftighet i ekonomiskt hänseende.
Har en fråga om rättelse eller liknande åtgärd tagits upp efter framställning från den som uppgiften avser, ska denne kostnadsfritt underrättas om huruvida en sådan åtgärd vidtagits.
Paragrafen innehåller bestämmelser om vilka åtgärder den som bedriver kreditupplysningsverksamhet ska vidta när uppgifter är oriktiga, missvisande eller annars har behandlats i strid med kreditupplysningslagen. Det undantag som gäller enligt tredje stycket inskränks så att det inte längre alls gäller offentliggöranden enligt yttrandefrihetsgrundlagen.
Ändringen i tredje stycket innebär att skyldigheten att sända en rättelse eller komplettering till alla som under den senaste tolvmånadersperioden fått del av en oriktig eller missvisande uppgift som tagits in i en kreditupplysning ska gälla också för samtliga fall av offentliggöranden av kreditupplysning på sätt som avses i yttrandefrihetsgrundlagen.
Övervägandena finns i avsnitt 4.
1. Denna lag träder i kraft den 1 juli 2014.
2. I fråga om rättelse eller komplettering av en uppgift i en kreditupplysning som lämnats före ikraftträdandet gäller 12 § i dess äldre lydelse.
Ds 2013:27 Författningskommentar
Lagändringarna träder enligt punkten 1 i kraft den 1 juli 2014. Kraven på legitimt behov och kreditupplysningskopia enligt 9 resp. 11 § när en kreditupplysning tillhandahålls genom hittills undantagna sätt enligt yttrandefrihetsgrundlagen gäller från ikraftträdandet. Straffansvaret för brott mot dessa bestämmelser gäller endast för kreditupplysningar som tillhandahålls efter ikraftträdandet. Det följer av grunderna för 5 § brottsbalkens promulgationslag.
Av punkten 2 följer att rättelse eller komplettering enligt 12 § tredje stycket av en oriktig eller missvisande uppgift i en kreditupplysning som tillhandahållits genom hittills undantagna sätt enligt yttrandefrihetsgrundlagen inte behöver sändas till var och en som under den senaste tolvmånadersperioden tagit del av uppgiften, om upplysningen har tillhandahållits före ikraftträdandet.
Övervägandena finns i avsnitt 5.