GDPR for bedrifter som kredittsjekker

Mange bedrifter tenker at personvernansvaret ligger hos kredittopplysningsbyrået – det er jo de som har dataene. Det stemmer bare halvveis. I det øyeblikket bedriften mottar en kredittvurdering av en privatperson eller et enkeltpersonforetak, behandler bedriften selv personopplysninger og har alle pliktene som følger med: grunnlag, informasjon, sikring og sletting. Her er hva som kreves.

Kredittopplysninger er personopplysninger

En kredittvurdering av en fysisk person inneholder blant annet grunndata, skatteopplysninger, eventuelle betalingsanmerkninger og en score – personopplysninger i personvernforordningens forstand, og til dels opplysninger folk flest opplever som svært private. Regelverket er dobbelt: kredittopplysningsloven styrer selve utleveringen fra byrået, mens GDPR og personopplysningsloven styrer bedriftens egen behandling av det den mottar. Begge må være oppfylt.

Behandlingsgrunnlag: interesseavveining

All behandling av personopplysninger krever et grunnlag etter GDPR artikkel 6. For kredittsjekk av kunder er det normale grunnlaget interesseavveining etter artikkel 6 nr. 1 bokstav f: Bedriften har en berettiget interesse i å vurdere betalingsevnen før den gir kreditt, og i en reell kredittsituasjon veier den interessen tyngre enn ulempen for kunden. To presiseringer:

• Samtykke er ikke veien. Et samtykke skal kunne trekkes fritt tilbake – uegnet når sjekken er et vilkår for kredittsalg. Og viktigere: Samtykke erstatter aldri kravet om saklig behov i kredittopplysningsloven.
• Grunnlaget bærer bare formålet. Interesseavveiningen dekker kredittbeslutningen – ikke gjenbruk av opplysningene til markedsføring, profilering eller «kjekt å ha».

Sammenhengen mellom saklig behov og GDPR-grunnlaget er nærmere forklart i artikkelen om saklig behov for bedrifter og i oversikten over GDPR og kredittopplysninger.

Informasjonsplikten: fortell hva dere gjør

Kunden skal informeres om behandlingen. I praksis løses det i to lag:

1. I kundeløpet: Opplys i vilkår, kredittsøknad eller bestillingsløp at det gjennomføres kredittvurdering ved kjøp på kreditt – før sjekken gjøres.
2. I personvernerklæringen: Beskriv formålet, behandlingsgrunnlaget, hvilket byrå dere bruker, og hvor lenge vurderinger lagres.

I tillegg kommer lovens egen mekanisme: gjenpartsbrevet fra byrået, som sendes automatisk til alle fysiske personer som sjekkes. Gjenpartsbrevet fritar ikke bedriften fra egen informasjonsplikt – det kommer i tillegg.

Lagring: kort, begrunnet – og så sletting

GDPRs prinsipp om lagringsbegrensning er der bedrifter oftest svikter: Kredittvurderingen hentes inn, beslutningen tas – og rapporten blir liggende i innboksen eller kundemappen i årevis. Hovedregelen er enkel: Personopplysninger skal slettes når formålet er oppfylt.

• Avslag: Er kredittsøknaden avslått, er formålet oppfylt raskt – vurderingen skal ikke bli liggende.
• Innvilget kreditt: Dokumentasjon av beslutningen kan begrunne noe lagring, men tidsbegrens den og ta stilling til hvor lenge – ikke «på ubestemt tid».
• Aldri gjenbruk: En gammel kredittvurdering skal ikke brukes ved nye kredittbeslutninger – kredittopplysninger er ferskvare, og en ny beslutning krever ny vurdering av behovet.

Tilgangsstyring og sikkerhet internt

Kredittvurderinger skal ikke være allemannseie på kontoret:

• Gi tilgang til oppslagsløsningen og mottatte rapporter kun til ansatte med kredittansvar.
• Ikke videresend rapporter på e-post internt eller lagre dem i åpne fellesmapper.
• Logg hvem som bestiller sjekker – bedriften er ansvarlig også når en ansatt misbruker tilgangen til private oppslag, og gjenpartsbrevet avslører oppslaget for den det gjelder.

Den registrertes rettigheter

Kunden har rettigheter overfor bedriften: rett til innsyn i hvilke opplysninger dere har, rett til å kreve retting og sletting, og rett til å protestere mot behandling basert på interesseavveining. Sørg for at kundeservice vet hvor slike henvendelser skal, og svar innen rimelig tid. Gjelder feilen selve kredittopplysningene, skal kunden i tillegg henvises til byrået – rettighetene der er beskrevet i artikkelen om innsynsrett.

Internkontroll: sju punkter å ha på plass

1. Protokoll: Kredittvurdering av kunder føres opp i bedriftens oversikt over behandlingsaktiviteter, med formål og grunnlag.
2. Definert formål: Skriftlig rutine for når kredittsjekk gjennomføres – og når den ikke gjør det.
3. Informasjon: Kredittvurdering omtalt både i kundeløpet og i personvernerklæringen.
4. Tilgang: Navngitte roller med tilgang til oppslag og rapporter – og ingen andre.
5. Sletterutine: Definerte frister for sletting ved avslag og ved innvilget kreditt, med faktisk gjennomføring.
6. Rettighetshåndtering: Et kjent mottak for innsyns-, rettings- og protesthenvendelser, med svarfrister.
7. Avvikshåndtering: Rutine for hva som skjer ved feiloppslag eller misbruk – stans, vurdering av meldeplikt og tiltak.

Eksempel: det ulovlige oppslaget

En ansatt hos en forhandler med oppslagsavtale bruker tilgangen til å kredittsjekke en bekjent – ingen kredittbeslutning, bare nysgjerrighet. Gjenpartsbrevet kommer dagen etter, den bekjente ser forhandlerens navn og klager. Nå er det ikke den ansatte alene som står i stormen: Bedriften må dokumentere hvilket saklig behov som forelå – det finnes ikke – og forklare hvordan tilgangen kunne misbrukes. Manglende tilgangsstyring og logging er bedriftens ansvar.

Etterspillet i en slik sak er forutsigbart: beklagelse og oppfølging overfor den krenkede, innstramming av hvem som kan gjøre oppslag, logging av alle bestillinger og opplæring av de ansatte. Alt sammen tiltak som koster lite å innføre i forkant – og mye å innføre i etterkant, med Datatilsynet som tilskuer.

Ved brudd: Datatilsynet

Datatilsynet fører tilsyn med både kredittopplysningsvirksomhet og bedriftenes egen behandling, og kan gi pålegg og overtredelsesgebyr. Kunder som mener seg ulovlig sjekket eller får ubesvarte innsynskrav, kan klage dit – prosessen er beskrevet i artikkelen om å klage til Datatilsynet. Den beste beskyttelsen er dokumenterte rutiner: definert behov, informert kunde, styrt tilgang og sletting på skjema.

Oppsummert

• Bedriften har selvstendig GDPR-ansvar for kredittvurderinger den mottar om fysiske personer – inkludert ENK.
• Behandlingsgrunnlaget er normalt interesseavveining; samtykke er uegnet og erstatter aldri saklig behov.
• Informer i kundeløpet og i personvernerklæringen – gjenpartsbrevet kommer i tillegg, ikke i stedet.
• Slett vurderinger når formålet er oppfylt, og gjenbruk aldri gamle sjekker ved nye beslutninger.
• Styr tilgangen internt – og møt innsyns- og slettekrav raskt og ryddig.