Þann 8. október 2020 birti Persónuvernd á vef stofnunarinnar drög að skilmálum í starfsleyfi til fjárhagsupplýsingastofa. Samtök fjármálafyrirtækja (SFF) gæta hagsmuna fjármálafyrirtækja og lánastofnana sem starfa samkvæmt lögum nr. 161/2002, um fjármálafyrirtæki, og þurfa að vinna upplýsingar um fjárhagsmálefni og lánstraust einstaklinga og lögaðila í tengslum við starfsemi sína. Í lögum um neytendalán og fasteignalán til neytenda er gerð krafa um að lánveitandi afli þeirra upplýsinga sem þörf er á til framkvæmdar lánshæfis- og greiðslumats. Í því felst að m.a. er gerð krafa um að upplýsingar frá neytendum séu sannreyndar svo sem með uppflettingu í opinberum gagnagrunnum. Í lögum um fjármálafyrirtæki er lögð sú skylda á fjármálafyrirtæki að búa yfir tryggu eftirlitskerfi með áhættu í tengslum við alla starfsemi sína sbr. 17. gr. laga nr. 161/2002 en í því felst m.a. að meta útlánaáhættu og viðhafa skilvirkt kerfi og aðferðir við stýringu útlánasafns, þ.m.t. greiningu á vanefndum. Mörg aðildarfélög SFF eru áskrifendur að skrám Creditinfo og reiða sig sem slík á skrárnar við ákvörðun um lánveitingar, áhættustýringu og innheimtu vanskilakrafna.
SFF hafa fengið til skoðunar umsögn Creditinfo um skilmáladrögin og taka undir þau sjónarmið sem þar koma fram hvað varðar atriði er varða hagsmuni áskrifenda. SFF vilja nota þetta tækifæri og benda sérstaklega á eftirfarandi atriði:
Endurskoðun reglugerðar
Í 15. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga (pvl.) er fjallað um vinnslu upplýsinga um fjárhagsmálefni og lánstraust hjá fjárhagsupplýsingastofu í því skyni að miðla þeim til annarra. Í 2. mgr. 15. gr. segir að ráðherra skuli setja reglugerð þar sem nánar er mælt fyrir um skilyrði vinnslu. Sú reglugerð hefur ekki verið sett þrátt fyrir að núgildandi reglugerð nr. 246/2001, um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, hafi verið veitt lagastoð með ákvæðum pvl. Að mati SFF er brýnt að ráðherra setji reglugerð sem samrýmist tækniframförum og þeirri framkvæmd við vinnslu upplýsinga um fjárhagsmálefni og lánstraust einstaklinga og lögaðila. Á það ekki síst við í ljósi fréttar frá Persónuvernd sem birt var á vefsíðu stofnunarinnar við birtingu skilmáladraganna, þann 8. október sl., þar sem stofnunin vísar til þess að skilmálar á grundvelli draganna hafi almennt gildi og „fælu því að nokkru í sér ígildi stjórnvaldsfyrirmæla“. Er sú skylda sem 2. mgr. 15. gr. pvl. kveður á um enn brýnni í ljósi krafna um skýrleika laga og stjórnvaldsfyrirmæla sem og þess að ákvæði reglugerðar nr. 246/2001 vísa í ákvæði eldri persónuverndarlaga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sem nú eru fallin úr gildi.
Heimil vinnsla vegna færslu skrár um fjárhagsmálefni, lánstraust einstaklinga og réttur hins skráða til andmæla
Í grein 2.1. er það gert að skilyrði fyrir skráningu á vanskilaskrá að löginnheimta sé hafin gegn hinum skráða s.s. með stefnubirtingu eða ef hinn skráði hefur skriflega viðurkennt fyrir kröfuhafa að skuld sé fallin í gjalddaga. Að mati SFF ætti að teljast fullnægjandi að afmarka heimild til skráningar við þau atriði sem skilgreind eru í grein 2.2.1 og 2.2.2 en ekki að gera þá kröfu að löginnheimta, eða tiltekið stig innheimtu, gagnvart hinum skráða sé jafnframt hafin. Almennt reyna lánastofnanir að beita vægari innheimtuúrræðum svo ekki þurfi að fara út í kostnaðarsamari innheimtuaðgerðir eins og að stefna máli fyrir dómstóla. Betur færi að orða ákvæðið með eftirfarandi hætti:
„Í skrá samkvæmt grein þessari má aðeins færa þær upplýsingar sem taldar eru upp í ákvæði 2.2. Þá er gert að skilyrði að innheimta sé hafin gagnvart hinum skráða á grundvelli innheimtulaga enda séu 10 dagar liðnir frá sendingu innheimtuviðvörunar.
Gerð er athugasemd við orðalag 3. mgr. 2.1. gr. varðandi það hvers eðlis andmæli skuldara skuli vera svo skuld teljist umdeild. Samkvæmt ákvæðinu er óheimilt að skrá og miðla upplýsingum um umdeildar skuldir ef skuldari hefur sannanlega komið andmælum við skuld á framfæri við kröfuhafa, greint honum frá ástæðu andmælanna og skuldin hefur ekki verið staðfest með aðfararhæfum dómi eða aðfararhæfri ákvörðun sýslumanns sem kunngjörð hefur verið í opinberri auglýsingu. Í skilmáladrögunum eru, eðli málsins samkvæmt, gerðar miklar kröfur til fjárhagsupplýsingastofa og kröfuhafa. Að sama skapi er eðlilegt að gera lágmarkskröfur til þeirra sem andmæla skuld t.d. á þann veg að afmarka nánar að hverju andmæli beinast s.s. tilvist eða lögmæti kröfu eða fjárhæðar hennar. Slíkt orðalag samrýmist betur ákvæði 2. mgr. 5.1.1. í skilmáladrögunum sem og orðalagi laga og reglna á þessu sviði. Þá má einnig nefna í þessu samhengi að grein 5.4. í skilmáladrögunum, um andmælarétt hins skráða, er einnig opin og óljós og gerir skráðum einstaklingum kleift að tilkynna munnlega um óljós eða órökstudd andmæli til fjárhagsupplýsingastofu sem hlýtur að gera fjárhagsupplýsingastofu og eftir atvikum áskrifendum erfitt fyrir að tryggja örugga auðkenningu hins skráða og áreiðanleika andmælanna.
Söfnun upplýsinga
Í grein 2.2. er fjallað nánar um þær tegundir upplýsinga sem heimilt er að safna í miðlægt gagnasafn fjárhagsupplýsingastofu og frá hverjum. SFF taka sérstaklega undir það sjónarmið Creditinfo að rýmka þurfi heimildir til skráninga á vanskilaskrá og/eða auka við heimildir til að vinna með upplýsingar um vanskil á fyrri stigum eða skuldastöðu við gerð lánshæfismats. SFF telja að með rýmri heimildum til skráninga sé stuðlað að aukinni neytendavernd sem og komið í veg fyrir að einstaklingar skuldbindi sig um of og ráði þ.a.l. ekki við greiðslubyrðina. Með því að mat á lánshæfi byggi á ítarlegri upplýsingum verður lánshæfismat áreiðanlegra og líklegra til þess að geta gefið glögga mynd af líkum á vanskilum í náinni framtíð. Slíkt mat er afar mikilvægt við áhættustýringu fjármálafyrirtækja, m.a. í samræmi við ákvæði laga nr. 160/2002 um fjármálafyrirtæki.
Skilyrði um lágmarksfjárhæðir krafna og heimildir sem takmarka skráningu við að löginnheimta sé hafin leiða til þess að einstaklingar geta orðið verulega skuldsettir á stuttum tíma án þess að lánveitandi geti haft upplýsingar um raunverulega skuldastöðu og tekið mið af því við mat á lánshæfi eða líkum á vanskilum í náinni framtíð sem er hinum skráða og lánveitanda í óhag.
Aðgengi að lánsfé hefur stóraukist á undanförnum árum auk þess sem svokölluð smálán hafa rutt sér til rúms sem almennt varða einungis lágar lánsfjárhæðir sem teknar eru að láni til skamms tíma. Hefur embætti umboðsmanns skuldara bent sérstaklega á vanda þeirra sem lenda í skuldavanda vegna svokallaðra smálána. Hvort heldur sem um ræðir smálán eða annars konar neyslulán sem falla utan ákvæða laga nr. 33/2013, um neytendalán, er það mat SFF að lánveitendur eigi lögmæta hagsmuni, samkvæmt almennum meginreglum kröfuréttar og innheimtulaga, að fjárhagsupplýsingastofu sé heimilt að safna upplýsingum um slíkar kröfur sem geta verið lægri að höfuðstóli en skilmáladrög Persónuverndar gera ráð fyrir.
Lánveitendur hafa þannig ríka hagsmuni af því að fjárhagsupplýsingastofu verði heimilt að safna upplýsingum sem heimilt er að safna á grundvelli ákvæða 2.2.1 og 2.2.2 í starfsleyfisdögunum án tillits til lágmarksfjárhæða. Má í því samhengi hafa í huga að réttur hins skráða til þess að fá skráningu fellda niður er ríkur ef um umdeilda kröfu er að ræða.
Að mati SFF er því afar mikilvægt að fjárhæðarmörk verði felld niður eða lækkuð verulega og að skilyrði til skráningar á vanskilaskrá séu rýmkuð auk þess sem hægt verði að skrá kröfur á fyrri stigum vanskila.
SFF leggja einnig áherslu á að áskrifendur geti skráð á vanskilaskrá, óháð öðrum heimildum, upplýsingar um birtingar stefnu í samræmi við XIII. kafla laga nr. 91/1991 um meðferð einkamála.
Þá er bent á að í 5. tl. ákvæðisins kemur fram að heimilt sé að afla upplýsinga um nauðasamningsumleitanir, staðfesta nauðasamninga, innkallanir og skiptalok. Vakin er athygli á því að þann 22. júní sl. tóku gildi ný lög nr. 57/2020 um tímabundnar heimildir til fjárhagslegrar endurskipulagningar sem eftir atvikum getur þurft að taka tillit til í upptalningu í grein 2.2.1. sem virðist telja á tæmandi hátt hvaða upplýsinga megi afla úr opinberum skrám.
Miðlun persónuupplýsinga
Í grein 4 er fjallað um miðlun upplýsinga um fjárhagsmálefni og lánstraust einstaklinga. Áskrifendur hafa jafnframt hagsmuni af því að fá upplýsingar um grundvöll skráningar þegar upplýsinga er aflað frá áskrifendum auk þeirra atriði sem talin eru upp í 2. mgr. 4. gr. um nafn, heimilisfang, kennitölu skuldara og fjárhæð kröfu svo dæmi séu tekin. Þannig geta upplýsingar um grundvöll kröfunnar skipt máli við áhættustýringu sem og haft jákvæðar afleiðingar fyrir hinn skráða.
Í 5. mgr. 4. gr. er fjallað um þjónustu sem felst í því að bera skilgreindar kennitölur, sem fengnar eru frá áskrifendum, reglulega saman við skrá um fjárhagsmálefni og lánstraust einstaklinga sem og skýrslur um lánshæfi. Er heimildin háð því skilyrði að vinnslan sé nauðsynleg við „innheimtu krafna eða vegna áhættustýringar við veitingu fjárhagslegrar fyrirgreiðslu í formi úttektar eða lánsheimilda.“ (leturbr. SFF). Vakin er athygli á því að almennt felur áhættustýring í sér reglulegt mat á áhættu t.d. vegna einstakra útlána eða fyrir útlánasafn fjármálafyrirtækja og er viðvarandi á þeim tíma sem samningssamband um fjárhagslega fyrirgreiðslu stendur. Af þeim sökum mætti koma skýrar fram í framangreindri 5. mgr. 4. gr. að heimild til þjónustunnar eða vöktunar kennitölu hins skráða sé til staðar allan þann tíma sem hinn skráði nýtur fjárhagslegrar fyrirgreiðslu en ekki einungis í upphafi við veitingu fjárhagslegrar fyrirgreiðslu. Síðar í málsgreininni er orðalagi breytt og tekið fram að veita skuli skýra, skriflega fræðslu um vöktunina þegar hún þjónar áhættustýringu vegna fjárhagslegrar fyrirgreiðslu“.
Tilkynningar um uppflettingar
SFF vekja athygli á því að aðildarfélög samtakanna hafa sem áskrifendur lagt ríka áherslu á það við Creditinfo að leitað verði leiða til að draga úr almennum póstsendingum hvað varðar tilkynningar um uppflettingar í starfsleyfisskyldum skrám m.a. með tilliti til markmiða stjórnvalda um stafræn samskipti,umhverfissjónarmiða og til að spara kostnað af bréfasendingum í pósti. Það er því sjálfsögð og eðlileg krafa SFF að skilmálar í starfsleyfum fjárhagsupplýsingastofa verði orðaðir með þeim hætti að mögulegt verði að finna leiðir til þess að nota rafræna miðla í auknum mæli til að senda slíkar tilkynningar. Það er í samræmi við stefnu stjórnvalda sem hafa sett sér það markmið að stafræn samskipti verði megin samskiptaleið fólks og fyrirtækja við hið opinbera. Stafrænt Ísland, sem heyrir undir fjármála- og efnahagsráðuneytið, vinnur að þessum markmiðum þvert á ráðuneyti og stofnanir. Það myndi skjóta skökku við og væri í andstöðu við stefnu stjórnvalda ef aðeins verður heimilt að senda tilkynningar á pappír til þeirra sem flett hefur verið upp í starfsleyfisskyldum skrám og auk þess afar kostnaðarsamt.
Samningsgerð við áskrifendur
Í 6. gr. skilmáladraganna er fjallað um samningsgerð við áskrifendur og kemur fram að fjárhagsupplýsingastofa skuli gera skriflega samninga við áskrifendur sína. Það er sjálfsögð og eðlileg krafa að kveða á um skyldu til samningsgerðar er varðar vinnslu persónuupplýsinga um fjárhagsmálefni og lánstraust í því skyni að miðla þeim til annarra, í þessu tilviki áskrifenda. Í töluliðum 1.-12. í 6. gr. er engu að síður að finna efnisleg ákvæði um skyldur áskrifenda sem alla jafna falla ekki innan ákvæða reglugerðar nr. 246/2001, um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust í því skyni að miðla þeim til annarra og þar með valdheimilda Persónuverndar. Í ljósi þess að umrædd grein hefur hvað mest áhrif á aðildarfélög SFF sem eru áskrifendur að skrám fjárhagsupplýsingastofu eru gerðar verulegar athugasemdir við hversu langt er seilst með ákvæðinu umfram fyrirmæli laga- og reglugerðarákvæða sem eiga við um heimildir Persónuverndar til setningar starfsleyfis.
Í 1. tl. 6. gr. segir að í hvert sinn sem áskrifandi fletti einstaklingi upp í skrá um fjárhagsmálefni og lánstraust, afli skýrslu um lánshæfi hans eða hefji vöktun á kennitölu hans skuli tilgreina og skrá til hvers það sé gert. Að mati SFF eru framangreindar ráðstafanir nauðsynlegar til að tryggja viðunandi öryggi þeirra upplýsinga sem unnið er með hjá fjárhagsupplýsingastofu og gerir engar athugasemdir við þá framkvæmd. Hins vegar er óljóst hvort umrædd skráning skuli fara fram hjá fjárhagsupplýsingastofu, áskrifendum eða báðum aðilum og ástæða til að skýra orðalagið svo ekki valdi vafa.
Í 2. tl. 6. gr. segir að í áskriftarsamningi skuli áskrifandi, sem nýtir sér þjónustu fjárhagsupplýsingastofu vegna innheimtu krafna, ábyrgjast að upplýsingaöflun og kennitöluvöktun helgist ávallt af lögmætum hagsmunum vegna slíkrar starfsemi. Að mati SFF er hér um að ræða sjálfsagða kröfu og skyldu sem hvílir á öllum þeim sem vinna persónuupplýsinga til að tryggja að fullnægjandi heimild sé til staðar fyrir vinnslu. Þá er ekki útilokað að fjárhagsupplýsingastofa bjóði upp á vöru eða þjónustu í framtíðinni sem byggi á öðrum heimildum en lögmætum hagsmunum. Af þeim sökum myndi ná sama tilgangi að gera kröfu um að áskrifandi ábyrgist að umrædd vinnsla helgist af lögmætum hagsmunum eða grundvallist á annarri fullnægjandi heimild samkvæmt 9. gr. laga nr. 90/2018. Auk þess má sameina 2. og 3. tl. 6. gr. sem eruð eðlislíkir um annað en tilgang vinnslunnar.
Í 5. tl. 6. gr. er tilgreint að fjárhagsupplýsingastofa skuli tryggja í áskriftarsamningi við áskrifendur, sem hafa með höndum innheimtu krafna, að áskrifandi ábyrgist í eigin samningum við viðskiptavini sína að hann þekki reglur um skráningu upplýsinga um fjárhagsmálefni og lánstraust einstaklinga og tryggi að kröfur, sem skuldari hefur sannanlega andmælt, verði ekki sendar til skráningar. Það leiðir af almennum reglum að fjármálafyrirtækjum ber að fara að lögum. Að mati SFF er það ekki á valdsviði Persónuverndar að gera slíka kröfu gagnvart áskrifendum að þeir lýsi því yfir í samningum við sína viðskiptavini að þeir þekki framangreint. Það leiðir af hlutarins eðli að áskrifendum ber að þekkja þau lög og reglur sem gilda um starfsemi þeirra og eru reglur um skráningu upplýsinga um fjárhagsmálefni og lánstraust engin undantekning. Að sama skapi er 10. tl. 6. gr. óþarfur en þar kemur fram að í áskriftarsamningi skuli ávallt veita hinum skráða lögskylda fræðslu. Skýrt er kveðið á um fræðsluskyldu aðila sem vinnur persónuupplýsingar í ákvæðum pvl. Af þeim sökum er óþarfi að kveða á um að veita skuli lögbundna fræðslu til hinna skráðu í áskriftarsamningi milli fjárhagsupplýsingastofu og áskrifenda enda er það ekki hlutverk fjárhagsupplýsingastofu að tryggja eða hafa eftirlit með að einstaka áskrifendur fari að og uppfylli fræðsluskyldu eða annars konar skyldur samkvæmt lögum.
Í 6. tl. 6. gr. kemur fram að í áskriftarsamningi skuli áskrifandi, sem sendir upplýsingar til skráningar á skrá um fjárhagsmálefni og lánstraust einstaklinga, ábyrgjast að honum sé ekki kunnugt um að skuldari hafi nokkrar réttmætar mótbárur gegn greiðslu skuldarinnar. Hér er hugtakanotkun ólík því sem áður hefur komið fram um rétt hins skráða til að andmæla kröfu en þau andmæli hafa ekki verið bundin við tiltekin atriði s.s. greiðslu. Er því óljóst hver munurinn er á andmælum hins skráða og réttmætum mótbárum.
Brot gegn skilmálum og riftun
SFF gera alvarlegar athugasemdir við 2. mgr. 6. gr. sem fjallar um viðbrögð fjárhagsupplýsingastofu við brotum áskrifanda gegn skilmálum í áskriftarsamningi við stofuna. Í greininni kemur fram að fjárhagsupplýsingastofa skuli tilkynna til Persónuverndar tafarlaust komi í ljós að áskrifandi hafi brotið gegn skilmálum í áskriftarsamningi. Í 33. gr. pvl. er skýrlega kveðið á um skráningu, viðbrögð og tilkynningar vegna öryggisbresta við meðferð persónuupplýsinga þ.m.t. tilkynningarskyldu til Persónuverndar ef líklegt er að brestur leiði til áhættu fyrir réttindi og frelsi einstaklinga. Að mati SFF er óeðlilegt að gera vægari kröfur í áskriftarsamningi milli fjárhagsupplýsingastofu og áskrifenda og óeðlilegt að ekki sé tekið tillit til annars er fjölda brota s.s. áhættu eða alvarleika brota áskrifenda. Þannig myndi ákvæðið í óbreyttri mynd leiða til þess að tilkynna bæri Persónuvernd um öll atvik þ.m.t. tilfallandi mannleg mistök vegna innsláttarvillu í kennitölu einstaklinga sem áskrifendum er þegar skylt að halda skrá um, samkvæmt 5. mgr. 33. gr. pvl. og eftir atvikum tilkynna um til stofnunarinnar. Auk þess eru gerðar athugasemdir við alvarlegum afleiðingum sem felast í riftun áskriftarsamnings gerist áskrifandi brotlegur og noti skrá í óheimilum tilgangi tvisvar sinnum á 12 mánuðum. Slík brot geta átt sér stað vegna mannlegra mistaka eins og áður var nefnt. Þá er mikill munur á stærð áskrifenda en starfsfólk einstakra aðildarfélaga SFF má telja í hundruðum. Viðmið um tvö brot á 12 mánaða tímabili eru afar íþyngjandi og ósanngjarnt gagnvart stærri áskrifendum. Í því samhengi er áréttað að riftun áskriftarsamnings og útilokun áskrifanda á aðgengi að upplýsingum frá fjárhagsupplýsingastofu gæti jafnvel leitt til þess að áskrifandanum verði gert ókleift að stunda lánastarfsemi til neytenda og framkvæmt lögbundið lánshæfismat, ef greiðslusögu er ekki fyrir að fara hjá lánveitanda, þar sem lokað yrði fyrir aðgengi að nauðsynlegum upplýsingum til framkvæmdar á lánshæfismati.
Að lokum fagna SFF þeirri vönduðu stjórnsýslu sem felst í því að skilmáladrög Persónuverndar hafi verið birt opinberlega. SFF þakka Persónuvernd fyrir tækifærið til að koma á framfæri athugasemdum við drögin. Það er sérstaklega mikilvægt í ljósi þess hversu mikil áhrif skilmálarnir geta haft á starfsemi aðildarfélaga SFF.
Með vinsemd og virðingu,
Jóna Björk Guðnadóttir, yfirlögfræðingur