Automatiserte kredittbeslutninger: dine rettigheter

Du fyller ut søknaden, logger inn med BankID, trykker «send» – og før kaffen er ferdig, står svaret på skjermen: avslått. Ingen saksbehandler har sett på saken, ingen har ringt deg. Er det lov? Svaret er at det ofte kan være lov, men at du da har bestemte rettigheter. Her forklarer vi hva personvernregelverket sier om helautomatiske avgjørelser, hvordan det henger sammen med bankens plikter etter finansavtaleloven – og nøyaktig hva du kan skrive til banken for å få saken vurdert av et menneske.

Når dataprogrammet sier nei

Automatisering er i seg selv ikke noe problem. Å hente kredittopplysninger, slå opp i gjeldsregistrene og regne på betjeningsevne er oppgaver en maskin gjør raskt og likt hver gang. Spørsmålet er hvem som faktisk bestemmer. Legger programmet frem et forslag som en saksbehandler vurderer og kan overprøve, er avgjørelsen menneskelig. Setter programmet selv strek under ja eller nei, uten at noe menneske reelt påvirker utfallet, er avgjørelsen helautomatisk – og da gjelder særlige regler.

Kredittsjekk og kredittvurdering betyr det samme, og vurderingen av deg kan være både manuell og maskinell. Det er avgjørelsen banken bygger på vurderingen, denne artikkelen handler om.

Hovedregelen: forbud mot helautomatiske avgjørelser

Personvernforordningen (GDPR) artikkel 22 gir deg en rett til ikke å bli gjenstand for en avgjørelse som er helautomatisk, dersom avgjørelsen har rettsvirkning for deg eller på tilsvarende måte i betydelig grad påvirker deg. Datatilsynet forklarer regelen i veiledningen rettar ved automatiserte avgjerder. To vilkår må altså være oppfylt samtidig:

• Helautomatisk: Det finnes ingen reell menneskelig innflytelse på utfallet. En saksbehandler som bare trykker «godkjenn» på det maskinen allerede har bestemt, endrer ikke nødvendigvis på det.
• Betydelig virkning: Avgjørelsen har rettsvirkning eller påvirker deg i betydelig grad.

Du trenger ikke gjette om lånesøknader hører hjemme her. Datatilsynet bruker selv dette som eksempel: «Når du søkjer om banklån på nett, avgjer nettstaden lånesøknaden din der og då.» Et lånesvar på sekunder er altså skoleeksempelet på det regelen handler om.

De tre unntakene

Forbudet er ikke absolutt. Etter Datatilsynets gjennomgang kan en helautomatisk avgjørelse likevel treffes i tre tilfeller:

Unntak	Hva det betyr
Nødvendig for avtale	Avgjørelsen er nødvendig for å inngå eller oppfylle en avtale mellom deg og virksomheten.
Lovhjemmel	Avgjørelsen er tillatt i lov, og loven har tilstrekkelige garantier for rettighetene dine.
Uttrykkelig samtykke	Du har uttrykkelig samtykket til at saken avgjøres automatisk.

Hvilket unntak en bank bygger på, kan variere, og det er ikke gitt at unntaket faktisk holder i din sak. Derfor er et av de første spørsmålene du bør stille: Hvilket grunnlag bruker dere for å avgjøre søknaden min automatisk? Svaret forteller deg også hvilke rettigheter du har videre.

Rettighetene dine når unntak brukes

Bygger banken på avtale eller samtykke, har du etter Datatilsynets veiledning uansett tre rettigheter:

1. Retten til å uttale deg. Du kan legge frem ditt syn og opplysninger programmet ikke fanget opp – for eksempel ny jobb, en gjeld som nettopp er innfridd, eller at inntekten i fjor var unormalt lav.
2. Retten til å bestride avgjørelsen. Du kan si at du er uenig i utfallet og be om at det vurderes på nytt.
3. Retten til menneskelig overprøving. Du kan kreve at et menneske går gjennom saken. Poenget er en reell vurdering, ikke at noen bekrefter maskinens svar uten å se på det.

I tillegg har virksomheten en informasjonsplikt: Den skal fortelle deg at den bruker automatiserte avgjørelser, gi deg informasjon om logikken bak og om hvilke følger avgjørelsen kan få for deg. Du har altså krav på å forstå prinsippene for hvordan maskinen kommer frem til svaret – hvilke typer opplysninger den ser på og hva som trekker i hvilken retning. Hva som ellers ligger i personvernreglene ved kredittsjekk, har vi forklart i artikkelen om GDPR og kredittopplysninger.

Samspillet med finansavtaleloven

GDPR står ikke alene. Finansavtaleloven har egne regler for kredittvurderingen – og én av dem er skrevet nettopp for automatiserte avslag:

• § 5-2 kredittvurderingsplikten: Banken plikter å kredittvurdere deg før en kredittavtale inngås. Et program kan gjøre jobben, men plikten ligger hos banken – se finansavtaleloven og kredittvurderingsplikten.
• § 5-4 avslagsplikten: Viser vurderingen at du trolig ikke kan oppfylle forpliktelsene, må banken avslå. Det gjelder også når et menneske overprøver saken – se avslagsplikten.
• § 5-3 varsel ved automatisert avslag: Avslås søknaden på grunnlag av en automatisert behandling, skal banken uten ugrunnet opphold varsle deg om avslaget og om det bygger på opplysninger fra et databasesøk. Du skal samtidig få vite resultatet av søket og hvilken database det gjelder. Utover dette har banken ingen plikt etter finansavtaleloven til å begrunne avslaget – se hva banken må forklare ved avslag.

Sammen gir dette to spor du kan bruke samtidig. Finansavtaleloven gir deg rett til å vite om avslaget bygde på et databasesøk, og hva søket viste. GDPR gir deg rett til å vite at avgjørelsen var automatisk, til informasjon om logikken bak og til å få den vurdert av et menneske. Vær samtidig realistisk: Menneskelig overprøving er ingen snarvei rundt avslagsplikten. Holder ikke tallene, skal saksbehandleren også si nei. Det overprøvingen kan rette opp, er feil, mangler og forhold maskinen ikke så.

Kredittscoren er grunnlag – bankens svar er avgjørelsen

Mange tror det er kredittopplysningsbyrået som «avslo» dem. Det er det ikke. Byrået utleverer opplysninger og en kredittscore – et tall som oppsummerer risikoen etter byråets modell. Scoren er et beslutningsgrunnlag. Det er banken som bestemmer hvordan scoren skal vektes, hvilke grenser den har satt, og om du får ja eller nei. Avgjørelsen er bankens.

Det har praktisk betydning for hvem du retter kravene dine mot:

• Krav om manuell behandling, forklaring og informasjon om logikken sender du til banken som traff avgjørelsen.
• Feil i opplysningene som scoren bygger på – en anmerkning som skulle vært slettet, feil inntektstall, forveksling med en annen person – tar du med kredittopplysningsforetaket. Se feil i kredittopplysningene for de vanligste feilkildene.

Et automatisert system gjør ikke feil i opplysningene mindre alvorlige – tvert imot. Der en saksbehandler kanskje hadde stusset over en merkelig registrering, kjører et program videre med den. Gjenpartsbrevet du får når banken henter kredittopplysninger, viser hva som ble utlevert, og er det første du bør sjekke.

Slik krever du manuell behandling og forklaring

Gå frem i denne rekkefølgen:

1. Finn ut om avgjørelsen var automatisk. Kom svaret umiddelbart, er det et tegn, men spør banken direkte.
2. Sjekk gjenpartsbrevet og kontroller at kredittopplysningene stemmer.
3. Send et skriftlig krav til banken via innlogget melding eller e-post, slik at du har dokumentasjon.
4. Legg ved det du vil at et menneske skal se: ny arbeidsavtale, bekreftelse på innfridd gjeld eller annen dokumentasjon.
5. Ta vare på alt – søknaden, avslaget og all korrespondanse.

Hold brevet kort og saklig. Et konkret krav er vanskeligere å besvare med en standardformulering enn et generelt «hvorfor fikk jeg nei?».

Eksempel: Jonas og det raske neiet

Jonas søker om forbrukslån på nett og får avslag på sekunder. Han har nettopp gått fra midlertidig til fast stilling, men skatteopplysningene viser fjorårets lavere inntekt. Han sender brevet over og legger ved den nye arbeidsavtalen. Banken bekrefter at søknaden ble avgjort automatisk, og en saksbehandler går gjennom saken med den nye dokumentasjonen. Resultatet blir et lavere lånebeløp enn han søkte om – fordi betjeningsevnen fortsatt setter en grense – men et ja. Uten kravet hadde maskinens første svar blitt stående.

Klage til Datatilsynet

Svarer ikke banken, nekter den menneskelig overprøving, eller får du ingen informasjon om at avgjørelsen var automatisk og om logikken bak, kan du klage til Datatilsynet. Ta saken med banken først og legg ved korrespondansen når du klager – fremgangsmåten står i artikkelen om å klage til Datatilsynet. Personvernnemnda er klageinstans over Datatilsynets vedtak. Datatilsynet behandler personvernsiden av saken; om lånet burde vært innvilget, er fortsatt bankens vurdering innenfor finansavtalelovens rammer.

Oppsummert

• Helautomatiske avgjørelser med betydelig virkning er som hovedregel forbudt – og Datatilsynet bruker selv banklån på nett som eksempel.
• Unntak gjelder ved avtale, lovhjemmel eller uttrykkelig samtykke; ved avtale og samtykke kan du uttale deg, bestride og kreve menneskelig overprøving.
• Banken skal informere om at den bruker automatiserte avgjørelser, om logikken bak og om følgene.
• Kredittscoren er et grunnlag; avgjørelsen er bankens, og kravene dine om overprøving og forklaring går til banken.
• Manuell behandling fjerner ikke avslagsplikten, men retter opp feil og mangler maskinen ikke så.