ADVOKATFIRMA ØGLÆND & CO AS
Luramyrveien 25A Unntatt offentlighet:
Offl. § 13 jf. Popplyl. § 24 (1) 2.
4313 SANDNES
pkt.
Håkon Pinderød Eliassen
Deres referanse Vår referanse Dato
20/02375-9 21.09.2021
Vedtak om pålegg og overtredelsesgebyr - Kredittvurdering uten rettslig
grunnlag – Ultra-Technology AS
1. Innledning
Vi viser til vårt varsel om vedtak om pålegg og overtredelsesgebyr av 21. desember 2020.
Vi mottok Ultra-Technology AS’ («Ultra-Technology») merknader til varselet via advokat
Håkon Pinderød Eliassen i brev datert 11. januar 2021. Våre kommentarer til merknadene
følger nedenfor.
Innledningsvis vil vi beklage den lange saksbehandlingstiden.
2. Vedtak om pålegg og overtredelsesgebyr
Datatilsynet fatter følgende vedtak:
1. Med hjemmel i personvernforordningen artikkel 58 nr. 2 bokstav i ilegger vi Ultra-
Technology AS, org.nr 925 887 498, et overtredelsesgebyr til statskassen på 125 000
kroner for å ha innhentet kredittopplysninger uten rettslig grunnlag, jf.
personvernforordningen artikkel 6 nr. 1.
2. Med hjemmel i personvernforordningen art. 58 nr. 2 bokstav d pålegges Ultra-
Technology AS å utarbeide skriftlige rutiner for kredittvurdering, jf.
personvernforordningen artikkel 24, da virksomheten ikke hadde dette på
kontrolltidspunktet.
Vår hjemmel for å fatte pålegg er personvernforordningen artikkel 58 nr. 2.
Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Hjemmeside:
Postboks 458 Sentrum Tollbugt 3 22 39 69 00 22 42 23 50 974 761 467 www.datatilsynet.no
0105 OSLO
Fristen for å gjennomføre påleggene fremgår av vedtakets pkt. 7.
3. Nærmere om sakens faktiske forhold
I deres svar av 11. januar 2021 bekrefter dere at daglig leder Stig Seglem kredittvurderte
(«klager») gjennom Ultra-Technologys tilgang til
kredittvurderingsverktøy, men bestrider at dette har skjedd i strid med
personvernforordningen.
Dere bekrefter at kredittvurderingen ble gjennomført i forbindelse med , men
anfører at Ultra-Technology hadde rettslig grunnlag for kredittvurderingen som ble
gjennomført i den sammenheng.
Subsidiært anfører dere at det varslede gebyret er for høyt.
4. Rettslig grunnlag for innhenting av kredittopplysninger
4.1. Behandlingsansvarlig
Personvernforordningen definerer «behandlingsansvarlig» som:
[…]en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert
annet organ som alene eller sammen med andre bestemmer formålet med
behandlingen av personopplysninger og hvilke midler som skal benyttes; når formålet
med og midlene for behandlingen er fastsatt i unionsretten eller i medlemsstatenes
nasjonale rett, kan den behandlingsansvarlige, eller de særlige kriteriene for utpeking
av vedkommende, fastsettes i unionsretten eller i medlemsstatenes nasjonale rett
4.2. Rettslig grunnlag for innhenting av kredittopplysninger
Å innhente kredittopplysninger om enkeltpersoner og enkeltmannsforetak («de registrerte»)
utgjør en behandling av personopplysninger, jf. personvernforordningen artikkel 4 nr. 2 og
personopplysningsloven § 1.
Personvernforordningen artikkel 6 nr. 1 krever at den behandlingsansvarlige har et rettslig
grunnlag for behandling av personopplysninger.
Når en virksomhet skal innhente kredittopplysninger om den registrerte uten at det foreligger
samtykke, eller kredittvurderingen er strengt nødvendig for å gjennomføre en avtale med den
registrerte, er artikkel 6 nr. 1 bokstav f det mest aktuelle rettsgrunnlaget.
Artikkel 6 nr. 1 bokstav f krever at innhenting av kredittopplysninger er «nødvendig» for å
ivareta en «berettiget interesse» som etter en interesseavveining veier tyngre enn hensynet til
den enkeltes personvern.
2
Den berettigede interessen må være lovlig, klart definert på forhånd, reell og saklig begrunnet
i virksomheten. Hvilke interesser som oppfyller dette beror på en vurdering der blant annet
hvilke fordeler virksomheten oppnår med behandlingen, hvor viktige interessen er for
virksomheten, eller om behandlingen har offentlig interesse eller ivaretar ideelle interesser
som kommer flere til gode er relevante momenter.
Videre må den aktuelle behandlingen være «nødvendig» for formål knyttet til den berettigede
interessen. Det vil si at virksomheten må vurdere om den kan oppnå formålet på en måte som
bedre ivaretar personvernet. Man må altså velge den behandlingen som er minst inngripende.
Deretter må virksomheten foreta en interesseavveining for å avgjøre om den enkeltes
personvern veier tyngre enn virksomhetens berettigede interesse.
Hvilke type opplysninger det er aktuelt å behandle, for eksempel om innhenting av de aktuelle
opplysningene kan oppleves krenkende, og hvilke forventninger enkeltpersonen har til
behandlingen av personopplysningene, er relevante momenter i interesseavveiningen.
Den nå opphevede personopplysningsforskriften § 4-31 inneholdt et tilleggsvilkår om at
kredittopplysninger bare kunne innhentes med mindre virksomheten hadde «saklig behov» for
kredittopplysningene.
Forskriften § 4-3 videreføres i henhold til forskrift om overgangsregler om behandling av
personopplysninger § 42.
Personvernforordningen gir imidlertid ikke nasjonalt handlingsrom for særregulering av
innhenting av kredittopplysninger. Vi mener derfor at kravet til «saklig behov» ikke utgjør et
tilleggsvilkår til artikkel 6 nr. 1 bokstav f.
Vurderingen av om virksomheten har «saklig behov» etter forskriften § 4-3 har imidlertid nær
sammenheng med vurderingen etter artikkel 6 nr. 1 bokstav f. Vi mener derfor at tidligere
forvaltningspraksis rundt kravet til saklig behov fortsatt er relevant ved vurdering av artikkel
6 nr. 1 bokstav f.
4.3. Om plikten til skriftlige rutiner (internkontroll)
Etter personvernforordningen artikkel 24 plikter alle virksomheter å kunne påvise at de
behandler personopplysninger i samsvar med loven. Dersom det står i et rimelig forhold til
behandlingsaktivitetene, skal virksomheten iverksette egnede retningslinjer for vern av
personopplysninger.
Kredittvurdering er en inngripende behandling av personopplysninger og utgjør et stort
inngrep i enkeltpersoners rett til personvern. Virksomheter må derfor kunne dokumentere
deres interne rutiner eller prosesser, såkalt internkontroll, som ivaretar kravet om saklighet
ved kredittvurdering.
1 Personopplysningsforskriften av 15. desember 2000 nr. 1265.
2 Overgangsregler om behandling av personopplysninger av 15. juni 2018 nr. 877.
3
Rutinene skal beskrive når og hvordan kredittopplysninger skal innhentes og hvordan innsyn
skal gis, og skal sikre at kredittvurderinger ikke innhentes uten at kravet om saklig behov er
oppfylt. Videre skal virksomheten ha rutiner for avvikshåndtering.
5. Datatilsynets vurdering
5.1. Behandlingsansvarlig
Datatilsynet varslet 21. desember 2020 pålegg og overtredelsesgebyr til Ultra-Technology AS
(org.nr. 987 204 265).
Dette aksjeselskapet ble derimot slettet fra Foretaksregisteret 12. juni 2021.3
Kunngjøringen i foretaksregisteret viser at selskapet Ultra-Technology AS (org.nr. 987
204 265) har blitt fusjonert med det nye selskapet Ultra-Technology AS (org.nr. 925
887 498).4 Fusjonsmeldingen ble registrert i Foretaksregisteret 12. juni 2021.
Det vedtektsfestede formålet og aktivitet/bransje som er oppgitt for det nye selskapet er
identisk med det første selskapet:
«Bearbeiding av metall og plastmateriell samt hva hermed står i forbindelse, herunder å delta i
andre selskaper med lignende virksomhet»
Stig Nordby Seglem er oppført som daglig leder og styreleder. Vi legger også til grunn at
verkstedvirksomheten det første selskapet drev er videreført i det nye selskapet etter
fusjonen.5
I vårt varsel om vedtak la vi til grunn at Ultra-Technology AS (org.nr. 987 204 265) var
behandlingsansvarlig for den innklagede kredittvurderingen utført av daglig leder.
Plasseringen av behandlingsansvaret hos selskapet for ulovlige kredittvurderinger utført av
daglig leder har støtte i Personvernnemndas avgjørelser PVN-2017-02 Bertram Bil og PVN-
2020-21 Flisleggingssenter AS.
Avgjørelsene har flere likhetstrekk med vår sak, og gjaldt begge daglig lederes bruk av
virksomhetens kredittvurderingsverktøy for kredittvurderinger til private formål.
I vår sak har selskapet som er behandlingsansvarlig for kredittvurderingen av klager fusjonert
med et annet selskap.
3 https://w2.brreg.no/enhet/sok/detalj.jsp?orgnr=987204265 (sist besøkt 21.09.21).
4 https://w2.brreg.no/kunngjoring/hent_en.jsp?kid=20210000291533&sokeverdi=925887498&spraak=nb (sist
besøkt 21.09.21)
5 https://www.ultratech.biz/about-us (sist besøkt 21.09.21).
4
Spørsmålet om behandlingsansvar når den behandlingsansvarlige juridiske personen blir
fusjonert med en annen er ikke regulert i personvernforordningen. Svaret med må derfor bero
på en tolkning av reglene for fusjon av selskap i aksjeloven.
Aksjeloven § 13-2 lyder slik:
(1) Sammenslåing av selskaper er undergitt reglene om fusjon i kapitlet her når et
selskap (det overtakende selskapet) skal overta et annet selskaps (det
overdragende selskapets) eiendeler, rettigheter og forpliktelser som helhet mot
at aksjeeierne i dette selskapet får som vederlag
1. aksjer i det overtakende selskapet, eller
2. slike aksjer med et tillegg som ikke må overstige 20 prosent av det samlede
vederlaget
(Vår utheving)
I vår sak innebærer dette at det overtakende selskapet (Ultra-Technology AS, org.nr. 925
887 498), har overtatt det overdragende selskapet (Ultra-Technology AS, org.nr. 987 204 265)
sine eiendeler, rettigheter og forpliktelser.
Etter vår vurdering har det overtakende selskapet overtatt det overdragende selskapets
behandlingsansvar for behandling av personopplysninger i selskapet.
Vår konklusjon er etter dette at det overtagende selskapet Ultra-Technology AS (org.nr 925
887 498) er behandlingsansvarlig for det overdragende selskapets kredittvurdering av klager.
Vårt vedtak om pålegg og overtredelsesgebyr kan dermed rettes mot Ultra-Technology AS
(org.nr. 925 887 498).
5.2. Skriftlige rutiner (internkontroll)
Ultra-Technology bekrefter i merknadene til varselet at virksomheten ikke har skriftlige
rutiner for kredittvurderinger. Dere skriver videre at dere ikke vil motsette dere et pålegg om å
etablere rutiner, men anfører følgende:
Det at bedriften ikke har utformet egne rutiner har sin forklaring. Det bemerkes at
selskapet allerede har en selskapsinternrutine, som går ut på å følge inngåtte
kontrakter. Bedriften har bundet seg kontraktsrettslig til å følge
personopplysningsloven ved søk i registeret, gjennom saklighetskriteriet i kontrakt en
med Experian AS.
Det er årsaken til at bedriften ikke har sett behov for ytterligere, interne
retningslinjer. Men det kan være hensiktsmessig med separate retningslinjer, som
viser til disse, for å unngå bruk som ikke forfølger legitim interesse. Slik forholder det
seg ikke i denne sak.
5
Vi har merket oss innspillet, men kan ikke se at det får noen betydning for vpre vurderinger i
denne saken.
Vi viser for øvrig til vår redegjørelse for innholdet i personvernforordningen artikkel 24 nr. 1
og 2 ovenfor, i pkt. 4.2.
Den behandlingsansvarlige plikter å iverksette tekniske og organisatoriske tiltak idet det tas
hensyn til «behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene
av varierende sannsynlighets- og alvorlighetsgrad for fysiske personers rettigheter og
friheter». Dersom det står i et rimelig forhold til behandlingsaktivitetene, skal tiltakene
omfatte egnede retningslinjer for vern av personopplysninger, jf. artikkel 24 nr. 2.
Kredittvurderinger av enkeltpersoner er en inngripende form for behandling av
personopplysninger. Tilgang til kredittvurderingsverktøy forutsetter derfor at den
behandlingsansvarlige iverksetter egnede tiltak for å forhindre at ulovlige kredittvurderinger
gjennomføres. Etter vår vurdering ville skriftlige rutiner virket preventivt mot den ulovlige
kredittvurderingen som er gjennomført i vår sak, og slike rutiner vil sikre at fremtidige
kredittvurderinger kun gjennomføres av Ultra-Technology når vilkårene i
personvernforordningen er oppfylt.
På bakgrunn av dette opprettholder vi vår konklusjon om at det er nødvendig å pålegge Ultra-
Technology å etablere skriftlige rutiner for kredittvurderinger.
Vi viser for øvrig til vår vurdering i varselets pkt. 5.1.
5.3. Rettslig grunnlag for innhenting av kredittopplysninger
Det relevante rettslige grunnlaget for Ultra-Technologys innhenting av klagers
kredittopplysninger er personvernforordningen artikkel 6 nr. 1 bokstav f.
Spørsmålet er om virksomheten hadde rettslig grunnlag i artikkel 6 nr. 1 bokstav f da daglig
leder innhentet kredittopplysninger om klager
Ultra-Technologys merknader
Ultra-Technology anfører at virksomheten forfulgte en «tredjeparts» «berettigede interesse»
da daglig leder kredittvurderte klager, og at virksomheten dermed oppfylte vilkåret om
«berettiget interesse» i artikkel 6 nr. 1 bokstav f.
Datatilsynets vurdering
Det relevante behandlingsgrunnlaget for innhentingen av kredittopplysninger om klager er
personvernforordningen artikkel 6 nr. 1 bokstav f.
6
Det første vilkåret som må være oppfylt, er at Ultra-Technology AS hadde en «berettiget
interesse» i å innhente opplysningene.
Fortalepunkt 47 til personvernforordningen angir at det i vurderingen av om en interesse er
berettiget, blant annet skal tas hensyn til den registrertes forventinger basert på forholdet
mellom den behandlingsansvarlige og den registrerte. Det skal også legges vekt på om det på
innsamlingstidspunktet var påregnelig for de registrerte at opplysningene ville bli behandlet
for det aktuelle formålet.
Kredittvurderingen ble gjennomført på bakgrunn av
Den berettigede interessen må imidlertid være begrunnet ut fra virksomhetens saklige behov
og interesse. Ettersom kredittvurderingen ble gjennomført via tilgangene til Ultra-
Technology AS, mener vi virksomheten var behandlingsansvarlig for kredittvurderingen.
Ifølge Brønnøysundregistrene driver Ultra-Technology AS med «Bearbeiding av metall og
plastmateriell samt hva hermed står i forbindelse, herunder å delta i andre selskaper med
lignende virksomhet». Etter vår vurdering hadde derfor klager ingen forventning om at Ultra-
Technology AS skulle behandle hennes kredittopplysninger i forbindelse med
Personvernnemnda har nylig avsagt avgjørelsen PVN-2020-21, som støtter vår forståelse av
loven. I avgjørelsen opprettholdt nemnda Datatilsynets pålegg og overtredelsesgebyr på
150 000 kr til «Flisleggingsfirma AS» for en ulovlig kredittvurdering.
Faktum i saken var at daglig leder i flisleggingsfirmaet hadde kredittvurdert naboen sin i
forbindelse med byggearbeider på naboens eiendom for å undersøke om vedkommende hadde
evne til å betale for seg dersom noe skulle gå galt.
I avgjørelsen uttaler nemnda følgende om kravet til berettiget interesse i
personvernforordningen artikkel 6 nr. 1 bokstav f:
Lovens krav om at behandlingen (innhentingen av kredittopplysningene) må være
nødvendig for formål knyttet til den behandlingsansvarliges berettigede interesse,
innebærer at interessen som ivaretas av den behandlingsansvarlige må være lovlig og
reelt begrunnet.
Det er Flisleggingsfirma AS som kjøper tjenester av Bisnode og det er derfor
Flisleggingsfirma AS som må ha en berettiget interesse i å sjekke kredittopplysningene
om A. Det foreligger ikke noe kundeforhold mellom A og Flisleggingsfirma AS og
Flisleggingsfirma AS har åpenbart ingen berettiget interesse i å foreta en
kredittvurdering av A. Det er i dette tilfellet daglig leder i Flisleggingsfirma AS, B,
som har brukt virksomhetens onlinetilgang til Bisnode for private formål, nemlig å
7
kredittvurdere en nabo for å undersøke hennes økonomiske situasjon fordi han var
bekymret for om de igangsatte byggearbeidene på nabotomten ville påføre hans
eiendom økonomisk skade som han ville kreve kompensasjon for. (Vår utheving).
Bs bruk av tjenesten fra Bisnode til private formål er åpenbart i strid med loven.
Nemnda er enig med Datatilsynet i at kredittvurderingen innebærer en grunnleggende
krenkelse av As personvernrettigheter. Nemnda tiltrer tilsynets vurdering og
konkluderer på samme måte som tilsynet med at det ikke forelå rettslig grunnlag for å
kredittvurdere A.
Når Flisleggingsfirma AS ikke har en berettiget interesse i behandlingen, er det ikke
nødvendig for nemnda å vurdere de øvrige vilkårene i artikkel 6 nr. 1 bokstav f, da
alle vilkårene må være oppfylt for å tilfredsstille lovens krav til behandlingsgrunnlag.
Avgjørelsen har flere likheter med saken mot Ultra-Technology, ved at begge sakene gjelder
daglig leders bruk av virksomhetens kredittvurderingsverktøy til private formål utenfor
virksomhetens forretningsområde.
På bakgrunn av dette opprettholder vi vår vurdering av at kravet til «berettiget interesse» i
personvernforordningen artikkel 6 nr. 1 bokstav f ikke er oppfylt.
Det er derfor ikke nødvendig for Datatilsynet å vurdere om kredittvurderingen var
«nødvendig» for formålet og om virksomhetens berettigede interesse oversteg hensynene til
klagers personvern.
Konklusjonen er at Ultra-Technology AS ikke hadde rettslig grunnlag etter artikkel 6 nr. 1
bokstav f for å behandle kredittopplysningene om klager innhentet 27. august 2019.
Vi viser for øvrig til vår vurdering av rettslig grunnlag i varselet pkt. 5.2.
6. Overtredelsesgebyr
6.1. Generelt om overtredelsesgebyr
Overtredelsesgebyr er et virkemiddel for å sikre effektiv etterlevelse og håndhevelse av
personopplysningsregelverket.
I samsvar med Høyesteretts praksis, jf. Rt. 2012 side 1556, legger vi til grunn at
overtredelsesgebyr er å anse som straff etter den europeiske menneskerettighetskonvensjonen
(EMK) artikkel 6. Det kreves derfor klar sannsynlighetsovervekt for lovbrudd for å kunne
ilegge gebyr.
Vi viser i denne sammenheng til kapittel IX i forvaltningsloven om administrative sanksjoner.
Med en administrativ sanksjon menes en negativ reaksjon som kan ilegges av et
8
forvaltningsorgan, som retter seg mot en begått overtredelse av lov, forskrift eller individuell
avgjørelse, og som regnes som straff etter den europeiske menneskerettskonvensjonen
(EMK).
I forvaltningsloven § 46 første ledd heter det:
Når det er fastsatt i lov at det kan ilegges administrativ sanksjon overfor et foretak,
kan sanksjonen ilegges selv om ingen enkeltperson har utvist skyld.
I Prop. 62 L (2015-2016) side 199 uttales det om § 46:
Formuleringen om at ‘ingen enkeltperson har utvist skyld’ er hentet fra paragrafen om
foretaksstraff i straffeloven § 27 første ledd og skal forstås på samme måte. Ansvaret
er derfor som utgangspunkt objektivt.
Høyesterett har i dom HR-2021-797-A lagt til grunn at det objektive ansvaret for
foretaksstraff som følger av straffeloven § 27 ikke er forenlig med straffebegrepet i EMK slik
det er tolket av EMD. Høyesterett uttaler i dommen at den som har handlet på vegne av
foretaket må ha utvist skyld, og at alminnelig uaktsomhet er tilstrekkelig for å oppfylle dette.
Ettersom overtredelsesgebyr regnes som straff etter EMK, legger vi til grunn at vi bare kan
ilegge et foretak overtredelsesgebyr dersom den som har opptrådt på vegne av foretaket har
utvist skyld, og at alminnelig uaktsomhet er tilstrekkelig, jf. HR-2021-797-A.
6.2. Skyldkravet ved ileggelse av overtredelsesgebyr
For at Datatilsynet skal kunne ilegge Ultra Technology AS overtredelsesgebyr kreves det altså
at den som har opptrådt på vegne av foretaket har utvist skyld. I denne saken er vår vurdering
at forsett er den aktuelle skyldformen.
Forsettskravet følger av alminnelige juridiske grunnprinsipper, og disse prinsippene er
kodifisert i straffeloven § 22. Av bestemmelsen følger det:
«Forsett foreligger når noen begår en handling som dekker gjerningsbeskrivelsen i et
straffebud:
a) med hensikt,
b) med bevissthet om at handlingen sikkert eller mest sannsynlig dekker
gjerningsbeskrivelsen, eller
c) holder det for mulig at handlingen dekker gjerningsbeskrivelsen, og velger å handle
selv om det skulle være tilfellet.» ‘
Av bestemmelsens andre ledd følger det imidlertid at «[f]orsett foreligger selv om lovbryteren
ikke er kjent med at handlingen er ulovlig, jf. § 26». Det er dermed ikke noe krav om at man
visste at handlingen var i strid med loven.
9
Av straffeloven § 26 følger det at «[d]en som på handlingstidspunktet på grunn av uvitenhet
om rettsregler er ukjent med at handlingen er ulovlig, straffes når uvitenheten er uaktsom.» I
henhold til kravet til aktsomhet må virksomheter sette seg inn i hvilken lovgivning som
gjelder på området, og innrette virksomheten i samsvar med de rammer som følger av det
aktuelle regelverket.
I denne saken har Ultra-Technology AS erkjent i sin redegjørelse at selskapets daglige leder
bevisst kredittvurderte klager i forbindelse med
Vi legger til grunn at daglig leder handlet på vegne av foretaket da han kredittvurderte klager,
jf. vedtakets pkt. 5.3, og at kredittvurderingen var en bevisst og villet handling.
Vår konklusjon er derfor at overtredelsen er gjort forsettlig av Ultra-Technology AS.
Skyldkravet for å ilegge overtredelsesgebyr er dermed oppfylt.
6.3. Vår vurdering av om overtredelsesgebyr skal ilegges
Ved vurderingen av om det skal ilegges gebyr og ved utmålingen skal Datatilsynet ta hensyn
til momentene i personvernforordningen artikkel 83 nr. 2 bokstav a) til k). Datatilsynet kan
ilegge overtredelsesgebyr etter en skjønnsmessig helhetsvurdering, men de opplistede
momentene legger føringer på skjønnsutøvelsen ved å trekke frem momenter som skal
tillegges særlig vekt.
Vi vil her vurdere de relevante momentene fortløpende.
a) karakteren, alvorlighetsgraden og varigheten av overtredelsen, idet det tas hensyn til den
berørte behandlingens art, omfang eller formål samt antall registrerte som er berørt, og
omfanget av den skade de har lidd
Lovlighetsprinsippet i personvernforordningen artikkel 5 nr. 1 bokstav a og kravet til rettslig
grunnlag i artikkel 6 nr. 1 er blant de grunnleggende kravene som skal oppfylles når en
virksomhet behandler personopplysninger. I denne saken har vi kommet til at Ultra-
Technlogy brøt bestemmelsen i artikkel 6 nr. 1, idet de aktuelle personopplysningene ble
innhentet uten at det forelå et rettslig grunnlag. Dette taler for at overtredelsen var alvorlig.
Dette har også Personvernnemnda uttalt om den ulovlige kredittvurderingen som var
gjennomført i PVN-2020-21:
Det dreier seg om en alvorlig overtredelse av personvernforordningen.
Lovlighetsprinsippet i artikkel 5 nr. 1 og kravet til behandlingsgrunnlag i artikkel 6
representerer grunnleggende krav til behandling av personopplysninger. Disse er
brutt. Privatpersoner har en forventning om at virksomheter ikke innhenter
kredittopplysninger om dem uten at dette er begrunnet i en berettiget interesse hos
10
virksomheten som følge av et reelt kundeforhold. Innhentingen av kredittopplysninger
har i dette tilfellet skjedd for et formål helt utenfor virksomhetens forretningsområde
og til daglig leders personlige bruk utenfor virksomheten. Han har uten tvil handlet
forsettlig. En eventuell villfarelse om rettsreglene er ikke unnskyldelig, jf. prinsippet i
straffeloven § 26.
Videre er kredittopplysninger en type personopplysninger som er særlige beskyttelsesverdige,
og som privatpersoner har en forventning om at ikke innhentes av virksomheter med mindre
det er saklig begrunnet i deres forhold til dem. Overtredelsen er derfor alvorlig, og tilsier at
det ilegges overtredelsesgebyr.
En enkelt ulovlig kredittvurdering vil ikke være en overtredelse over lengre varighet. På den
andre siden er skaden allerede skjedd og den kan ikke reverseres etter at personopplysningene
er innhentet ulovlig.
Videre er det én person som er berørt av overtredelsen, og det ble foretatt én kredittvurdering
av klager.
b) hvorvidt overtredelsen ble begått forsettlig eller uaktsomt
Ultra-Technology AS erkjenner i sin redegjørelse at kredittvurderingene ble innhentet bevisst
til bruk i . Vi legger derfor til grunn at overtredelsen ble begått
forsettlig.
c) eventuelle tiltak truffet av den behandlingsansvarlige eller databehandleren for å begrense
skaden som de registrerte har lidd
Vi kan ikke se at slike tiltak er truffet av Ultra-Technology AS.
d) den behandlingsansvarliges eller databehandlerens grad av ansvar, idet det tas hensyn til
de tekniske og organisatoriske tiltak de har gjennomført i henhold til artikkel 25 og 32
Vi legger i skjerpende retning vekt på at overtredelsene ble utført av daglig leder i
virksomheten, ettersom personvernforordningen forutsetter at etterlevelse av regelverket er
særlig forankret hos ledelsen i en virksomhet, jf. artikkel 5 nr. 2.
e) eventuelle tidligere overtredelser begått av den behandlingsansvarlige eller
databehandleren
Datatilsynet kjenner ikke til eventuelle tidligere overtredelser.
f) graden av samarbeid med tilsynsmyndigheten for å bøte på overtredelsen og redusere de
mulige negative virkningene av den
11
Ultra-Technology AS har bidratt til sakens opplysning ved å svare på vårt krav om
redegjørelse. Ifølge retningslinjer fra Artikkel 29-gruppen, vedtatt av Personvernrådet
(«EDPB»), er det ikke hensiktsmessig å legge formildende vekt på samarbeid som uansett er
påkrevet etter personvernforordningen.6 Vi kan ikke se at det for øvrig foreligger
samarbeidshensyn i vår sak, og finner derfor ikke dette momentet relevant.
g) kategoriene av personopplysninger som er berørt av overtredelsen
Særlige kategorier av personopplysninger (sensitive personopplysninger) er ikke berørt av
overtredelsen i vår sak. Opplysninger om lønn, gjeld og kredittverdighet er imidlertid
opplysninger som har et særlig beskyttelsesbehov på grunn av deres private karakter. Dette
trekker i skjerpende retning, og taler for ileggelse av overtredelsesgebyr.
Personvernnemnda har vurdert dette tilsvarende i sin avgjørelse PVN-2020-21:
Selv om opplysningene som er berørt av overtredelsen ikke tilhører gruppen særlig
kategorier av opplysninger i artikkel 9, så representerer kredittopplysninger om
enkeltpersoner opplysninger av privat karakter som den enkelte kan ha grunn til å
ønske forblir privat. Også dette er derfor et moment i skjerpende retning.
h) på hvilken måte tilsynsmyndigheten fikk kjennskap til overtredelsen, særlig om og eventuelt
i hvilken grad den behandlingsansvarlige eller databehandleren har underrettet om
overtredelsen
Vi finner ikke dette momentet relevant.
i) dersom tiltak nevnt i artikkel 58 nr. 2 tidligere er blitt truffet overfor den berørte
behandlingsansvarlige eller databehandler med hensyn til samme saksgjenstand, at nevnte
tiltak overholdes
Vi kjenner ikke til at det tidligere er truffet tiltak overfor virksomheten med hensyn til samme
saksgjenstand.
j) overholdelse av godkjente atferdsnormer i henhold til artikkel 40 eller godkjente
sertifiseringsmekanismer i henhold til artikkel 42
Vi finner ikke dette momentet relevant.
6 Guidelines on the application and setting of administrative fines for the purposes of the Regulation 2016/679,
WP 253, side 14.
12
k) og enhver annen skjerpende eller formildende faktor ved saken, f.eks. økonomiske fordeler
som er oppnådd, eller tap som er unngått, direkte eller indirekte, som følge av overtredelsen
Vi kan ikke se at det foreligger andre skjerpende eller formildende faktorer ved saken.
Basert på vurderingen ovenfor kommer Datatilsynet til at overtredelsesgebyr bør ilegges. Det
neste spørsmålet er gebyrets størrelse.
6.4. Vurdering av gebyrets størrelse
Ultra-Technology har anført at det varslede gebyret er «vesentlig for høyt», og at dette
«forbeholdes utdypet». Selskapet har ikke oversendt dokumentasjon eller fremført andre
argumenter som begrunner hvorfor selskapet mener det varslede gebyret er for høyt.
Ved utmåling av gebyrets størrelse skal det legges vekt på de samme vurderingsmomentene
som i spørsmålet om hvorvidt gebyr bør ilegges, jf. artikkel 83 nr. 2.
Momentene vi har pekt på i punkt 6.2 taler for et gebyr av en viss størrelse. I skjerpende
retning legger vi særlig vekt på at kredittvurderingen skjedde ved en bevisst handling, at
lovlighetsprinsippet er et av de mest grunnleggende prinsippene for behandling av
personopplysninger, og arten av personopplysningene som var rammet av overtredelsen.
Det følger av personvernforordningen artikkel 83 nr. 1 at overtredelsesgebyr skal fastsettes
konkret slik at det i hvert enkelt tilfelle er virkningsfull, står i et rimelig forhold til
overtredelsen og virker avskrekkende.
Hovedformålet med overtredelsesgebyr er prevensjon, altså at risikoen for å bli ilagt gebyr
skal virke avskrekkende og bidra til økt etterlevelse av regelverket.7
Av Bergseng Skullerud mfl., 2019, kommentarutgaven til personvernforordningen, side 347
fremgår det:
Prevensjonshensynet tilsier at gebyret for en overtredelse må settes så høyt at denne
faktisk oppleves som et onde av overtrederen. Dette innebærer at overtrederens
økonomiske evne bør ha betydning ved utmålingen, slik at gebyret blir høyere desto
sterkere bæreevne overtrederen har. […] Ved vurdering av økonomisk bæreevne for et
foretak kan det være relevant å se hen til foretakets samlede globale årsomsetning i
forutgående regnskapsår, jf. art. 83 nr. 4 og 5.
Og videre:
7 Se ajourført versjon av kommentarutgaven til personvernforordningen av Bergseng Skullerud, Rønnevik,
Skorstad og Engh Pellerud (2019) s. 343.
13
Hensynet til å sikre en individuell vurdering i hvert enkelt tilfelle tilsier at
tilsynsmyndighetene bør unngå å etablere standardiserte gebyrsatser. Dette gjelder
selv om nasjonal rett åpner for standardiserte satser, jf. forvaltningsloven § 43.
Gebyret skal altså utmåles konkret i hvert tilfelle, og virke avskrekkende for den enkelte
virksomheten. Vi legger derfor vekt på virksomhetens økonomi.
Ifølge offentlige tilgjengelige dokumenter, er Ultra-Technology AS registrert med en
omsetning på kr 20 158 000 i 2019, og et årsresultat på kr 3 191 000. Virksomheten er videre
registrert med en meget god soliditet.
Vi legger også til at Personvernnemnda i PVN-2020-21 uttalte at et overtredelsesgebyr på
150 000 kr for en ulovlig kredittvurdering av et enkeltpersonforetak «i alle fall ikke er for
høyt».
På bakgrunn av dette finner Datatilsynet i utgangspunktet ikke grunn til justere ned det
varslede gebyret på 175 000 kroner.
Saksbehandlingstiden hos tilsynet har imidlertid betydning for utmålingen av
overtredelsesgebyret, jf. personvernforordningen art. 83 nr. 2 bokstav k, jf.
Personveernnemndas avgjørelse i sak PVN-2021-03.
Vi ba Ultra-Technology å redegjøre for saken i vårt brev datert 29. april 2020. Vi varslet
deretter vedtak om overtredelsesgebyr i vårt brev 21. desember 2020. Når tilsynet ilegger
vedtak om gebyr har det gått ca. 10 måneder siden varselet, og ca. ett og et halvt år siden
tilsynet kontaktet Ultra-Technology første gang.
I tråd med Personvernnemndas praksis reduserer vi derfor det varslede gebyret til 125 000 kr
på bakgrunn av den lange saksbehandlingstiden.
Vår konklusjon er etter dette at Ultra-Technology ilegges et overtredelsesgebyr på 125 000 kr.
Vi viser for øvrig til vår vurdering av gebyrets størrelse i varselet pkt. 6.2 og 6.3.
7. Klagerett og videre saksgang
Dere kan klage på vedtaket. En eventuell klage må sendes til oss innen tre uker etter at dette
brevet er mottatt, jf. forvaltningsloven §§ 28 og 29. Dersom vi opprettholder vårt vedtak vil vi
sende saken videre til Personvernnemnda for klagebehandling.
Dersom dere ikke påklager pålegget om overtredelsesgebyr, er oppfyllelsesfristen 4 uker etter
klagefristens utløp, jf. personopplysningsloven § 27.
Fristen for å gjennomføre pålegget pkt. 2 om skriftlige rutiner (internkontroll) er 4 uker etter
klagefristens utløp. Dersom dere ikke påklager pålegget pkt. 2, må dere innen denne fristen
14
må dere sende oss en skriftlig bekreftelse, samt dokumentasjon, på at pålegget om
internkontroll er gjennomført.
8. Offentlighet, innsyn og taushetsplikt
Vi vil informere dere om at alle dokumentene i utgangspunktet er offentlige, jf.
offentlighetsloven § 3. Dersom dere mener det er grunnlag for å unnta hele eller deler av
dokumentet fra offentlig innsyn, ber vi dere om å begrunne dette.
Datatilsynet har taushetsplikt om hvem som har klaget til oss, og om klagerens personlige
forhold. Taushetsplikten følger blant annet av personopplysningsloven § 24 og
forvaltningsloven § 13. Som part i saken kan dere likevel bli gjort kjent med slike
opplysninger av Datatilsynet, jf. forvaltningsloven § 13 b første ledd nr. 1. Dere har også rett
til innsyn i sakens dokumenter, jf. forvaltningsloven § 18.
Vi gjør oppmerksom på at dere har taushetsplikt om opplysninger dere får av Datatilsynet om
klagerens identitet, personlige forhold og andre identifiserende opplysninger, og at dere bare
kan bruke disse opplysningene i den utstrekning det er nødvendig for å ivareta interessene
deres i denne saken, jf. forvaltningsloven § 13 b andre ledd. Vi gjør også oppmerksom på at
brudd på denne taushetsplikten kan straffes etter straffeloven § 209.
Dersom dere har spørsmål i saken, kan dere kontakte Ole Martin Moe på e-post
[email protected] eller telefon 22 39 69 59.
Med vennlig hilsen
Jørgen Skorstad
avdelingsdirektør
Ole Martin Moe
juridisk rådgiver
Dokumentet er elektronisk godkjent og har derfor ingen håndskrevne signaturer
Kopi til:
15