Ett förstärkt konsumentskydd mot riskfylld kreditgivning och överskuldsättning
Integritetsskyddsmyndigheten (IMY) har granskat förslaget huvudsakligen utifrån myndighetens uppgift att arbeta för att människors grundläggande fri- och rättigheter skyddas i samband med behandling av personuppgifter.
Med anledning av betänkandets omfång och det antal frågor som behandlats har IMY valt att begränsa sitt yttrande till mer övergripande frågor och frågor av väsentlig betydelse för enskildas personliga integritet.
Utredningen föreslår att ett system för register över skuld- och kreditinformation (Skri-register) ska införas. Den insamling och vidare behandling av personuppgifter som därigenom kommer att ske är enligt IMY:s mening mycket omfattande och medför därför stora integritetsrisker för enskildas personliga integritet. För att en sådan behandling ska kunna genomföras krävs en noggrann analys av förslagets inverkan på enskildas personliga integritet och en bedömning av vilket lagstöd som krävs, en så kallad integritetsanalys. (1)
IMY anser att utredningen ger en tillfredställande beskrivning av behoven av inrättandet och utformningen av Skri-registret. IMY anser dock att det finns risker med utredningens förslag när det gäller formerna för inrättandet av registret enligt vad som framgår nedan.
IMY ser tydliga fördelar med ett statligt register
Utredningen föreslår att kreditupplysningsföretag, som har IMY:s tillstånd att bedriva kreditupplysningsverksamhet, efter ett nytt tillstånd från IMY, ska få behandla och registrera uppgifter om konsumenters kreditåtaganden och betalningsdröjsmål. Utredningen lyfter visserligen även fram argument till stöd för att en statlig modell, såsom att den statliga modellen bättre skulle tillgodose kravet på att värna skyddet av de uppgifter som rapporteras in till registret. IMY anser emellertid inte att utredningen i tillräcklig utsträckning beaktat de integritetsrisker som en privat lösning medför.
Personuppgifternas karaktär har stor betydelse för vilka integritetsrisker som en behandling kan medföra. Behandlingen kommer att innebära insamling av uppgifter av enskildas privata ekonomiska skulder, vilket kan medföra särskilda integritetsrisker.
Antalet personer som omfattas av personuppgiftsbehandlingen är mycket omfattande, vilket också påverkar bedömningen av integritetsriskerna. Även antalet uppgifter om varje registrerad är en faktor som påverkar integritetsriskerna eftersom det innebär en möjlighet att kartlägga personen. Därtill har även den registrerades inflytande över behandlingen betydelse för bedömningen av vilka integritetsrisker som behandlingen medför. Behandling som den registrerade inte har någon möjlighet att motsätta sig är typiskt sett mer integritetskänslig. Sammantaget anser IMY att behandlingen innebär flera integritetsrisker och att detta bör vägas in i bedömningen av vem som ska föra Skri-register.
Som förslaget är utformat kommer sannolikt flera olika företag föra Skri-register vilket innebär att flera aktörer kommer att ha tillgång till och lagra samma personuppgifter. Detta ökar integritetsriskerna, bl.a. eftersom riskerna för spridning till obehöriga på grund av felhantering och riskerna för it-intrång ökar när fler aktörer behandlar personuppgifterna. IMY ser mot bakgrund av dessa risker att det finns tydliga fördelar med att ett Skri-register förs i form av ett statligt register där ansvaret läggs på en myndighet och förordar därför en sådan lösning.
Om utredningens förslag avseende en privat modell genomförs tillstyrker IMY att IMY ges uppgiften att meddela tillstånd att föra Skri-register och har inga synpunkter på utformningen om regleringen av tillståndsförfarandet.
Tillsyn över de inrapporterande företagen
Beträffande frågan om vilken myndighet som bör utöva tillsyn över att skuld- och kreditinformationen rapporteras in har två alternativ diskuterats, vilka är att antingen lägga tillsynsuppgiften på IMY eller på Finansinspektionen. Utredningen har kommit fram till att Finansinspektionen är bäst lämpad att utöva tillsyn över att finansiella företag fullgör sin rapporteringsskyldighet till Skri-register.
IMY tillstyrker förslaget i denna del mot bakgrund av följande. IMY:s uppgift, vilken bland annat innefattar att se till att den enskildes uppgifter skyddas och hanteras korrekt och inte hamnar i orätta händer, bör inte kombineras med att samtidigt utöva tillsyn över att de finansiella företagen rapporterar känslig information till kreditupplysningsföretag. Ett sådant tillsynsarbete skulle enligt IMY stå i strid med myndighetens uppdrag.
I förhållande till företag som har tillstånd att bedriva inkassoverksamhet enligt inkassolagen har dock utredningen kommit fram till att sådan tillsyn istället ska utövas av IMY, för det fall tillsynsansvaret i övrigt för dessa företag kommer ligga kvar hos IMY. Regeringen har i prop. 2023/24:23 lämnat förslag att Finansinspektionen ska vara tillsynsmyndighet över inkassolagen i dess helhet och därmed ta över det tillsynsansvar IMY har. Den nya lagen och lagändringarna föreslås träda i kraft den 1 januari 2024.
IMY anser att de skäl som framförts ovan beträffande tillsynen över att finansiella företag fullgör sin rapporteringsskyldighet till Skri-register gör sig gällande även när det gäller tillsynen över att företag som har tillstånd att bedriva inkassoverksamhet fullgör denna rapporteringsskyldighet oavsett var tillsynen i övrigt över dessa företag är placerad. Tillsynen över att företag som har tillstånd att bedriva inkassoverksamhet fullgör sin rapporteringsskyldighet bör mot den bakgrunden inte läggas på IMY.
Ökade kostnader för IMY
IMY kommer till följd av förslagen få flera nya arbetsuppgifter. Myndigheten har tidigare framfört att det kommer att röra sig om ett omfattande arbete som medför behov av minst två ytterligare heltidstjänster. IMY vidhåller detta och bedömer att behovet av dessa medel kommer föreligga sex månader innan IMY får de föreslagna arbetsuppgifterna.
Om förslaget i prop. 2023/24:23 att tillsynsansvaret över inkassolagen flyttas över till Finansinspektionen inte genomförs och tillsynsansvaret över att de rapporteringsskyldiga inkassoföretagen fullgör sina skyldigheter läggs på IMY, kommer detta innebära behov av ytterligare resurser för IMY än vad som angetts.
Fotnot
(1) Jfr IMY:s Vägledning för integritetsanalys i lagstiftningsarbetet, dnr IMY-2022-10835, som finns på IMY:s webbplats.
Detta yttrande har beslutats av vikarierande generaldirektör Karin Lönnheden efter föredragning av juristen Linnéa Sommar. Vid den slutliga handläggningen har även rättschefen David Törngren och enhetschefen Catharina Fernquist medverkat.
Karin Lönnheden, 2023-11-04 (Det här är en elektronisk signatur)