RECOVER AS
Kristoffer Robins vei 13 Unntatt offentlighet:
0978 OSLO Offl. § 13, jf. personopplysningsloven § 24 første ledd
2. punktum
Deres referanse Vår referanse Dato
21/02293-10 25.08.2022
Vedtak om pålegg og overtredelsesgebyr - Kredittvurdering uten rettslig
grunnlag - Recover AS
1. Innledning
Vi viser til vårt varsel om vedtak om pålegg og overtredelsesgebyr av 28. februar 2022. Vi
mottok deres merknader til varselet 14. mars 2022. Våre kommentarer til merknadene følger
nedenfor.
2. Vedtak om pålegg
Datatilsynet vedtar følgende pålegg:
1. Med hjemmel i personvernforordningen artikkel 58 nr. 2 bokstav i pålegges Recover AS,
org.nr. 995 761 440, å betale et overtredelsesgebyr til statskassen på kr 200 000 for å ha
innhentet kredittvurdering uten rettslig grunnlag, jf. personvernforordningen artikkel 6 nr. 1
bokstav f.
2. Med hjemmel i personvernforordningen artikkel 58 nr. 2 bokstav d pålegges Recover AS å
utbedre internkontroll og rutiner for kredittvurderinger, jf. personvernforordningen artikkel
24.
Vår hjemmel for å fatte pålegg er personvernforordningen artikkel 58 nr. 2.
Fristen for å gjennomføre påleggene fremgår av vedtakets pkt. 11.
3. Nærmere om sakens faktiske forhold
Vi mottok 15. juni 2021 en klage fra heretter «klager»), om at
Recover AS hadde gjennomført en kredittvurdering av henne den 27. mai 2021.
Klager opplyser at vedkommende ikke har hatt noe samarbeid, kundeforhold eller annen
tilknytning til deres virksomhet.
I deres svar på vårt krav om redegjørelse bekrefter dere at klager hverken er kunde hos dere,
eller har annen relasjon til Recover AS. Kredittvurderingen ble utført på bakgrunn av et
oppdrag dere hadde med en ny kunde. Dere opplyser at deres prosjektleder gjorde et søk på
Postadresse: Kontoradresse: Telefon: Org.nr: Hjemmeside: 1
Postboks 458 Sentrum Trelastgata 3 22 39 69 00 974 761 467 www.datatilsynet.no
0105 OSLO 0191 OSLO
Google for å finne fakturaadressen til kunden. Prosjektleder benyttet Google fordi oppdraget
var på kundens hytte, og dere hadde ikke adressen. Dere beskriver også at klager hadde
omtrent samme navn som deres kunde.
Basert på den oversendte dialogen mellom dere og klager så har vi lagt til grunn at klager
gjorde dere oppmerksomme på hendelsen.
Datatilsynet sendte varsel om vedtak om pålegg og overtredelsesgebyr 28. februar 2022.
Recover AS sendte merknader til dette varselet 14. mars 2022.
4. Rettslig bakgrunn
4.1 Behandling av kredittopplysninger
Å innhente og lagre kredittopplysninger om enkeltpersoner og enkeltpersonforetak utgjør en
behandling av personopplysninger, jf. personvernforordningen artikkel 4 nr. 2 og lov om
behandling av personopplysninger av 15. juni 2018 nr. 38 (personopplysningsloven) § 1.
Personvernforordningen artikkel 6 nr. 1 krever at all behandling av personopplysninger har et
rettslig grunnlag. Når en virksomhet skal innhente kredittopplysninger om den registrerte uten
at det foreligger samtykke, eller kredittvurderingen er strengt nødvendig for å gjennomføre en
avtale med den registrerte, er artikkel 6 nr. 1 bokstav f det mest aktuelle rettsgrunnlaget.
Etter den gamle personopplysningsloven av 2000 gjaldt et tilleggskrav om at virksomheten
måtte ha «saklig behov» for å innhente kredittopplysninger. Dette fremgår av
personopplysningsforskriften § 4-3, som etter overgangsreglene1 er videreført som gjeldende
rett.
Den nye kredittopplysningsloven2 viderefører også kravet om «saklig behov» for utlevering
av kredittopplysninger. Den nye loven er vedtatt, og trådte i kraft 1. juli 2022.
Personvernforordningen gir imidlertid ikke nasjonalt handlingsrom for å særregulere den
enkelte mottakers behandling av kredittopplysninger. Den nye kredittopplysningsloven har
derfor kun kredittopplysningsvirksomhetene som pliktsubjekt, og ikke den enkelte
virksomheten som bestiller kredittopplysninger.
Konsekvensen av dette er at «saklig behov» ikke direkte er et tilleggsvilkår for den enkelte
virksomheten som innhenter kredittopplysninger. Deres innhenting reguleres altså av
personvernforordningen artikkel 6 nr.1 bokstav f. Vurderinger knyttet til om en virksomhet
har «saklig behov» etter personopplysningsforskriften § 4-3 har imidlertid nær sammenheng
med vurderingen etter artikkel 6 nr. 1 bokstav f. Tidligere praksis knyttet til «saklig behov» er
derfor fortsatt relevant ved vurdering av «berettiget interesse» som behandlingsgrunnlag.
1
Overgangsregler om behandling av personopplysninger (FOR-2018-06-15-877).
2
Lov om behandling av opplysninger i kredittopplysningsvirksomhet (LOV-2019-12-20-109).
2
4.2 Personvernforordningen artikkel 6 nr. 1 bokstav f – «berettiget interesse»
Artikkel 6 nr. 1 bokstav f krever at innhenting av kredittopplysninger er «nødvendig» for å
ivareta en «berettiget interesse» som etter en interesseavveining veier tyngre enn hensynet til
den enkeltes personvern.
Den berettigede interessen må være lovlig, klart definert på forhånd, reell og saklig begrunnet
i virksomheten. Fortalepunkt 47 til personvernforordningen angir at det i vurderingen av om
en interesse er berettiget, blant annet skal tas hensyn til den registrertes forventinger basert på
forholdet mellom den behandlingsansvarlige og den registrerte. Det skal også legges vekt på
om det på innsamlingstidspunktet var påregnelig for de registrerte at opplysningene ville bli
behandlet for det aktuelle formålet.
Hvilke interesser som oppfyller dette beror på en helhetlig vurdering av blant annet hvilke
fordeler virksomheten oppnår med behandlingen, hvor viktig interessen er for virksomheten,
om behandlingen har offentlig interesse eller ivaretar den ideelle interesser som kommer flere
til gode, se Artikkel 29-gruppens uttalelse.3
Videre må den aktuelle behandlingen av personopplysninger være nødvendig for denne
interessen. Det vil si at virksomheten må vurdere om den kan oppnå formålet på en måte som
bedre ivaretar personvernet. Man må altså velge den behandlingen som er minst inngripende.
Deretter må virksomheten foreta en interesseavveining for å avgjøre om den enkeltes
personvern veier tyngre enn virksomhetens berettigede interesse. Hvilke type opplysninger
det er snakk om er relevante momenter for interesseavveiningene, f.eks.om disse er
beskyttelsesverdige og om personen har en forventning om å få ha personopplysningene i
fred. Det er også relevant å vurdere hva slags ulemper behandling av personopplysningene
påfører personen, hvorvidt behandlingen av personopplysningene oppleves som krenkende,
om behandlingen er egnet til å skape frykt eller uro, og hvilke tiltak virksomheten har
iverksatt for å redusere personvernkonsekvensene.
4.3 Relevant praksis knyttet til personopplysningsforskriften § 4-3 – «saklig behov»
Ifølge personopplysningsforskriften § 4-3 kan kredittvurdering kun innhentes når en
virksomhet har et «saklig behov» for opplysningene, for eksempel i forbindelse med et kjøp
på kreditt. Det må altså som hovedregel foreligge et kredittelement. Dette vil typisk være når
virksomheten skal yte kreditt til en kunde og trenger å se om vedkommende er kredittverdig.
3
Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive
95/46/EC, side 24 og 25.
3
Personvernnemnda har utdypet tilleggsvilkåret om saklig behov i flere saker, blant annet
PVN-2006-03 KLP, PVN-2010-05 Kredittvurdering og PVN-2017-02 Bertram Bil. I
sistnevnte sak henviste nemnda til følgende uttalelse fra PVN-2006-03 KLP:
«Formålet med en kredittvurdering er normalt å kartlegge hvorvidt en potensiell
kunde er kredittverdig, og dermed om selskapet ønsker å inngå avtale med
vedkommende. Det vil si at når det bes om kredittopplysninger vil saklighetskravet
være oppfylt når bestilleren skal benytte kredittopplysningene i forbindelse med sin
vurdering av kredittrisiko, for eksempel ved et tilsagn om lån eller avtale om løpende
ytelser som faktureres etterskuddsvis, typisk mobiltelefonabonnement, abonnement på
satellittfjernsyn etc.»
Nemnda henviste også til uttalelse i PVN-2010-05 Kredittvurdering, hvor det ble uttalt at det
motsatte av «saklig behov» er «nysgjerrighet og kikkermentalitet».
4.4 Om plikten til å gjennomføre egnede tekniske og organisatoriske tiltak
Etter personvernforordningen artikkel 24 skal den behandlingsansvarlige gjennomføre egnede
tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med
personopplysningsloven og personvernforordningen.
Dersom det står i et rimelig forhold til behandlingsaktivitetene, skal virksomheten iverksette
egnede retningslinjer for vern av personopplysninger.
Kredittvurdering er en inngripende behandling av personopplysninger og utgjør et stort
inngrep i enkeltpersoners rett til personvern. Virksomheter som gjennomfører
kredittvurderinger må derfor dokumentere sine interne rutiner eller prosesser (internkontroll),
som ivaretar kravet om saklighet ved kredittvurdering. Rutinene skal beskrive når og hvordan
kredittopplysninger kan innhentes og hvordan innsyn skal gis. Rutinene skal sikre at
kredittopplysninger ikke innhentes uten at kravet om saklig behov er oppfylt.
5. Datatilsynets vurdering
5.1. Behandlingsansvar
Den som bestemmer formål og midler for en behandling av personopplysninger, er
behandlingsansvarlig, jf. personvernforordningen artikkel 4 nr. 7. Den behandlingsansvarlige
er ansvarlig for at behandlingen av personopplysninger skjer i tråd med de grunnleggende
prinsippene i personvernforordningen og skal kunne påvise dette, jf. personvernforordningen
artikkel 5 nr. 2.
En virksomhet er ansvarlig for en behandling av personopplysninger utført av en ansatt når
behandlingen har skjedd gjennom virksomhetens aktiviteter.4 Det er Recover AS som har
4
Det europeiske personvernrådets retningslinjer, EDPB Guidelines 07/2020 on the concept of controller and
processor in the GDPR, s. 10.
4
avtale med Bisnode og som etter vår vurdering har bestemt formålet og midlene med
kredittvurderingen.
Det er vår vurdering – og heller ikke omtvistet – at Recover AS er behandlingsansvarlig for
den aktuelle kredittsjekken av klager.
5.2. Plikten til internkontroll og ansvarlighetsprinsippet
Recover AS har fremlagt sin rutine for kredittvurderinger, men denne er svært generelt
formulert. Den gir blant annet ingen veiledning på når det er en berettiget interesse for å foreta
kredittsjekk. Rutinen er derfor ikke egnet til å sikre at kredittvurderingene dere utfører skjer i
samsvar med artikkel 6 nr. 1 bokstav f.
Rutinen deres oppgir heller ikke hvem som kan foreta kredittvurderinger internt i
virksomheten. Det fremgår riktignok at økonomiavdelingen har ansvaret. I denne saken var
det imidlertid en prosjektleder som utførte kredittsjekken. Etter vår vurdering er rutinen ikke
egnet til å skape forståelse for når og hvem som kan utføre kredittsjekk. Rutinen gir heller
ikke klarhet i hvorfor det utføres kredittsjekk.
Etter vår vurdering ville bedre skriftlige rutiner virket preventivt mot den ulovlige
kredittvurderingen som er gjennomført i vår sak, og slike rutiner vil sikre at fremtidige
kredittvurderinger kun gjennomføres av Recover AS når vilkårene i
personvernforordningen er oppfylt, og at selskapet kredittvurderer riktig person. Etter vår
vurdering utgjør de mangelfulle rutinene et brudd på artikkel 24
I sine merknader til Datatilsynets varsel, henviser Recover AS først til utdrag fra vår nettside.
Utdraget er først og fremst ment som veiledning for privatpersoner som er kredittvurdert,
mens andre deler av nettsiden er ment for virksomheter.
Vi forstår det slik at Recover AS mener informasjonen på våre nettsider ikke er god nok. Vi
understreker at nettsidene våre kun er ment som generell veiledning. Vi har for øvrig
oppdatert informasjon vedrørende internkontroll for virksomheter.
Når det er sagt forutsetter ansvarlighetsprinsippet en sterk forankring av regelverket i
virksomhetens ledelse, jf. personvernforordningen artikkel 5 nr. 2. Virksomheter er med andre
ord ansvarlig for å sette seg inn i personvernregelverket, herunder vurdere når de lovlig kan
foreta kredittvurdering, og tilpasse sine retningslinjer og internkontroll til dette, jf. art. 24
Recover AS bør i sine rutiner fremheve artikkel 6. nr. 1 bokstav f som relevant
behandlingsgrunnlag for deres virksomhet, samt sørge for organisatoriske tiltak som sikrer at
kravene i personvernforordningen er oppfylt før kredittopplysninger om privatpersoner og
enkeltpersonforetak innhentes.
Datatilsynet har kompetanse til å pålegge den behandlingsansvarlige å sørge for at
behandlingsaktivitetene skjer i samsvar med bestemmelsene i personvernforordningen, jf.
5
personvernforordningen artikkel 58 nr. 2 bokstav d. Dette er bakgrunnen for pålegget om å
utbedre rutiner for kredittvurdering.
Recover AS må utbedre rutinene for å sikre at kredittvurdering bare skjer når vilkårene i
personvernforordningen er oppfylt.
5.3. Behandlingsgrunnlag for innhenting av kredittopplysninger
Spørsmålet er om Recover AS hadde rettslig grunnlag etter artikkel 6 nr. 1 bokstav f da dere
kredittvurderte klager.
Det første vilkåret som må være oppfylt for at behandlingen skal være lovlig er at Recover AS
hadde en «berettiget interesse» i å innhente opplysningene.
Recover AS har bekreftet at klager ikke har noe kundeforhold eller annen tilknytning til
virksomheten. Dere skriver at innhentingen skjedde som følge av en forveksling av navn.
Uavhengig av om det ble gjort med overlegg eller ikke, så har Recover AS innhentet
kredittopplysninger om en enkeltperson uten noen form for kundeforhold, leverandørforhold
eller annen tilknytning til virksomheten.
Det er enighet mellom partene om at kredittvurderingen ikke skulle vært utført. Klager hadde
ingen forventning om at Recover AS skulle behandle klagers kredittopplysninger og det var
heller ikke påregnelig at virksomheten skulle innhente opplysningene.
Vår vurdering er at kravet til «berettiget interesse» i personvernforordningen artikkel 6 nr. 1
bokstav f ikke er oppfylt.
Ettersom selskapet ikke har oppfylt det første vilkåret, anser vi det ikke hensiktsmessig å
vurdere de to siste vilkårene om nødvendighet og den konkrete interesseavveiningen i artikkel
6 nr. 1 bokstav f.
På bakgrunn av dette er konklusjonen vår at Recover AS har innhentet klagers
kredittopplysninger uten rettslig grunnlag, jf. personvernforordningen artikkel 6 nr. 1.
6. Overtredelsesgebyr
6.1. Generelt om overtredelsesgebyr
Personvernforordningen artikkel 58 nr. 2 bokstav i gir Datatilsynet myndighet til å ilegge
overtredelsesgebyr i henhold til artikkel 83.
Overtredelsesgebyr er å anse som straff etter Den europeiske menneskerettskonvensjonen
(EMK) artikkel 6. Det er nødvendig med klar sannsynlighetsovervekt for lovbrudd for at vi
skal kunne ilegge overtredelsesgebyr.
I forvaltningsloven § 46 første ledd er det uttalt:
Når det er fastsatt i lov at det kan ilegges administrativ sanksjon overfor et foretak,
kan sanksjonen ilegges selv om ingen enkeltperson har utvist skyld.
6
Høyesterett har imidlertid fastslått at det objektive ansvaret for foretaksstraff i straffeloven
ikke er forenlig med EMK. Høyesterett har uttalt at den som har handlet på vegne av foretaket
må ha utvist skyld, og at alminnelig uaktsomhet er tilstrekkelig for å oppfylle skyldkravet.
Justis- og beredskapsdepartementet har i brev av 12. mai 2021 presisert at det samme gjelder
som utgangspunkt i saker om administrative sanksjoner, og departementet har uttalt at
høyesterettsdommen skal legges til grunn ved ileggelse av overtredelsesgebyr overfor foretak.
6.2. Vår vurdering av skyldkravet
For at Datatilsynet skal kunne ilegge Recover AS overtredelsesgebyr må den som har opptrådt
på vegne av foretaket ha utvist skyld. Det er tilstrekkelig med alminnelig uaktsomhet.
Dere skriver at kredittvurderingen av klager skjedde som følge av en forveksling av navn.
Selskapet skulle egentlig kredittvurdere en annen ny kunde, men kjente ikke til hennes
adresse. Dere søkte derfor opp klagers navn på Google, men forvekslet den nye kundens navn
med klagers navn og kredittvurderte dermed feil person.
Etter vår oppfatning kunne Recover AS avverget kredittsjekken ved å ha grundigere rutiner
for kredittvurdering. Forvekslingen skyldtes blant annet søk på Google i stedet for søk hos
kredittopplysningsbyrå.
Vår vurdering er at dette må karakteriseres som klart uaktsomt av prosjektlederen, som vi
anser at har opptrådt på vegne av selskapet ved kredittvurderingen av klager.
Skyldkravet for å ilegge overtredelsesgebyr er dermed oppfylt.
6.3. Vurdering av om overtredelsesgebyr skal ilegges
Ved vurderingen av om det skal ilegges gebyr og ved utmålingen skal Datatilsynet ta hensyn
til momentene i personvernforordningen artikkel 83 nr. 2 bokstav a) til k). Datatilsynet kan
ilegge overtredelsesgebyr etter en skjønnsmessig helhetsvurdering, men de opplistede
momentene legger føringer på skjønnsutøvelsen ved å trekke frem momenter som skal
tillegges særlig vekt.
Vi vil her vurdere de relevante momentene fortløpende.
a) karakteren, alvorlighetsgraden og varigheten av overtredelsen, idet det tas hensyn til den
berørte behandlingens art, omfang eller formål samt antall registrerte som er berørt, og
omfanget av den skade de har lidd
Lovlighetsprinsippet i personvernforordningen artikkel 5 nr. 1 og kravet til rettslig grunnlag i
artikkel 6 er et av de grunnleggende kravene som skal oppfylles når en virksomhet behandler
personopplysninger.
7
Kredittopplysninger er en type personopplysninger som er særlige beskyttelsesverdige, og
som privatpersoner har en forventning om at ikke innhentes av virksomheter med mindre det
er saklig begrunnet i deres forhold til dem. Overtredelsen er derfor alvorlig, og tilsier at det
ilegges overtredelsesgebyr.
En kredittvurdering er et resultat av en sammenstilling av personopplysninger fra mange ulike
kilder, og viser et tall som angir sannsynligheten for at en person vil betale en fordring. En
kredittvurdering vil også vise detaljer om enkeltpersoners privatøkonomi, herunder eventuelle
betalingsanmerkninger, frivillige pantstillelser og gjeldsgrad. Dette er private opplysninger
som privatpersoner har en forventning om at ikke innhentes av virksomheter med mindre det
er saklig begrunnet i deres forhold til dem. Overtredelsen er derfor alvorlig, og dette tilsier at
det ilegges overtredelsesgebyr.
Recover AS fremmet innsigelser på vår anvendelse og forståelse av art. 58. Dere mener vi må
gi andre korrigerende tiltak i stedet for overtredelsesgebyr.
Personvernforordningen art. 83 nr. 4 og 5 angir hvilke overtredelser som kan sanksjoneres
med overtredelsesgebyr. Det høyeste maksbeløpet for overtredelsesgebyr finnes i nr. 5, som
blant annet omfatter brudd på grunnleggende personvernprinsipper, jf. bokstav a. Dere
manglet behandlingsgrunnlag for kredittvurderingen, og det utgjør brudd på
lovlighetsprinsippet som er et av disse grunnleggende personvernprinsippene, jf. art. 5
bokstav a, jf. art 6.
Når art. 83 nr. 5 angir det høyeste maksimale bøtenivået for slike brudd, er det nettopp ment å
reflektere alvorligheten av slike brudd. Etter artikkel 58 (2) bokstav i, har Datatilsynet
myndighet til, «[…] avhengig av omstendighetene i hvert enkelt tilfelle», å ilegge
overtredelsesgebyr iht. art. 83 «[…] i tillegg til, eller i stedet for» øvrige tiltak. Vår vurdering
er at omstendighetene tilsier å ilegge overtredelsesgebyr. Dette er også i tråd med vår
forvaltningspraksis, se blant annet sak 20/04401, 20/02042 og sak 20/02220 som alle gjaldt
kredittvurderinger uten rettslig grunnlag.
Personvernnemda har også en rekke ganger opprettholdt vedtak om ileggelse av gebyr i saker
om kredittvurdering uten rettslig grunnlag, se f.eks. PVN-2019-15 og PVN-2020-21. I
sistnevnte sak uttalte nemnda følgende:
Nemnda er enig med Datatilsynet i at det skal ilegges et overtredelsesgebyr og finner
etter en vurdering av de ulike momentene at et gebyr på 150 000 kroner i alle fall ikke
er for høyt. Nemnda har under henvising til forvaltningsloven § 34 tredje ledd
begrenset adgang til å sette gebyret høyere. Nemnda har for sin vurdering lagt vekt på
følgende forhold:
Det dreier seg om en alvorlig overtredelse av personvernforordningen.
Lovlighetsprinsippet i artikkel 5 nr. 1 og kravet til behandlingsgrunnlag i artikkel 6
representerer grunnleggende krav til behandling av personopplysninger. Disse er
brutt. Privatpersoner har en forventning om at virksomheter ikke innhenter
8
kredittopplysninger om dem uten at dette er begrunnet i en berettiget interesse hos
virksomheten som følge av et reelt kundeforhold.
[…]
Selv om opplysningene som er berørt av overtredelsen ikke tilhører gruppen særlig
kategorier av opplysninger i artikkel 9, så representerer kredittopplysninger om
enkeltpersoner opplysninger av privat karakter som den enkelte kan ha grunn til å
ønske forblir privat. Også dette er derfor et moment i skjerpende retning.
b) hvorvidt overtredelsen ble begått forsettlig eller uaktsomt
Overtredelsen er begått uaktsomt, se vår vurdering av skyld under pkt. 6.2.
c) eventuelle tiltak truffet av den behandlingsansvarlige eller databehandleren for å begrense
skaden som de registrerte har lidd
Recover AS har ikke opplyst om at det er gjennomført tiltak for å begrense skaden som den
registrerte har lidd.
d) den behandlingsansvarliges eller databehandlerens grad av ansvar, idet det tas hensyn til
de tekniske og organisatoriske tiltak de har gjennomført i henhold til artikkel 25 og 32
Ansvarlighetsprinsippet forutsetter en sterk forankring av regelverket i virksomheters ledelse
jf. personvernforordningen artikkel 5 nr. 2
Datatilsynet legger vekt på at Recover AS mangler tekniske og organisatoriske tiltak for å
sikre at innhenting av kredittvurderinger utføres i samsvar med personvernforordningen, jf.
art. 24. Vi vil understreke at kredittvurderinger medfører et betydelig inngrep i privatlivet til
de som blir kredittvurdert. Dette har vi vektlagt i skjerpende retning. Vi har også lagt vekt på
at Recover har ca. 37 000 oppdrag i året. Dere har opplyst at dere alltid kredittsjekker nye
kunder og utfører dermed et betydelig antall kredittvurderinger.
Dere innvender at dere ikke har noen tidligere registrerte overtredelser, og at dette taler mot å
ilegge overtredelsesgebyr. Vår vurdering er at de mangelfulle rutinene, i lys av det høye
antallet kredittvurderinger, samt den grunnleggende feilen som er begått gjennom
forvekslingen i saken taler for å ilegge overtredelsesgebyr.
Vi vektlegger også at tilstrekkelige rutiner for innhenting av korrekt fakturaadresse kunne ha
avverget den aktuelle hendelsen.
e) eventuelle tidligere overtredelser begått av den behandlingsansvarlige eller
databehandleren
9
Datatilsynet kjenner ikke til eventuelle tidligere overtredelser.
f) graden av samarbeid med tilsynsmyndigheten for å bøte på overtredelsen og redusere de
mulige negative virkningene av den
Vi anser ikke dette momentet som relevant.
g) kategoriene av personopplysninger som er berørt av overtredelsen
Særlige kategorier av personopplysninger (sensitive personopplysninger) er ikke berørt av
overtredelsen i vår sak. Opplysninger om lønn, gjeld og kredittverdighet er imidlertid
opplysninger som har et særlig beskyttelsesbehov på grunn av deres private karakter.
Dette taler for ileggelse av overtredelsesgebyr, og det er dessuten etablert praksis for å ilegge
overtredelsesgebyr for tilsvarende lovovertredelser.
h) på hvilken måte tilsynsmyndigheten fikk kjennskap til overtredelsen, særlig om og eventuelt
i hvilken grad den behandlingsansvarlige eller databehandleren har underrettet om
overtredelsen
Vi ble underrettet om saken gjennom henvendelsen fra klager
i) dersom tiltak nevnt i artikkel 58 nr. 2 tidligere er blitt truffet overfor den berørte
behandlingsansvarlige eller databehandler med hensyn til samme saksgjenstand, at nevnte
tiltak overholdes
Dere peker på at Datatilsynet ikke tidligere har truffet vedtak overfor dere, særlig i lys av
mengden kredittvurderinger dere utfører, og at dette momentet taler for å ikke ilegge
overtredelsesgebyr. Vi deler ikke denne oppfatningen. Tvert imot så mener vi de mangelfulle
rutinene viser at dere ikke har gjennomført egnede tekniske og organisatoriske tiltak, jf. art.
24. Dette mener vi er alvorlig tatt i betraktning det store antallet kredittvurderinger dere
utfører årlig, og styrker følgelig vår vurdering om å ilegge overtredelsesgebyr. At det tidligere
ikke er truffet tiltak overfor dere med hensyn til samme saksgjenstand tillegges derfor ikke
særskilt vekt.
j) overholdelse av godkjente atferdsnormer i henhold til artikkel 40 eller godkjente
sertifiseringsmekanismer i henhold til artikkel 42
Datatilsynet finner ikke dette momentet relevant.
k) og enhver annen skjerpende eller formildende faktor ved saken, f.eks. økonomiske fordeler
som er oppnådd, eller tap som er unngått, direkte eller indirekte, som følge av overtredelsen
Datatilsynet kan ikke se at Recover AS har oppnådd noen fordeler som følge av overtredelsen.
At dere ikke har oppnådd noen fordeler som følge av bruddet er ett av mange momenter i
vurderingen, og stenger ikke for ileggelse av overtredelsesgebyr.
10
Basert på vurderingen ovenfor kommer Datatilsynet til at overtredelsesgebyr bør ilegges. Det
neste spørsmålet er gebyrets størrelse.
6.4. Vurdering av gebyrets størrelse
I utmålingen av gebyret skal momentene i punkt 7.2 ovenfor tillegges vekt, jf. artikkel 83 nr.
2.
Overtredelsesgebyret skal i henhold til artikkel 83 nr. 1 være virkningsfullt, stå i et rimelig
forhold til overtredelsen og virke avskrekkende. Dette innebærer at tilsynsmyndigheten skal
gjøre en konkret, skjønnsmessig vurdering i hvert enkelt tilfelle.
Personvernforordningen legger til rette for et høyere bøtenivå enn det som gjaldt etter
personopplysningsloven fra 2000, og det følger av forordningens artikkel 83 nr. 1 at
overtredelsesgebyr skal fastsettes konkret slik at det i hvert enkelt tilfelle er virkningsfull, står
i et rimelig forhold til overtredelsen og virker avskrekkende. Hovedformålet med
overtredelsesgebyr er prevensjon, altså at risikoen for å bli ilagt gebyr skal virke
avskrekkende og derved medvirke til økt etterlevelse av regelverket.5
Av Skullerud m.fl. (2019), side 347, fremgår det:
Prevensjonshensynet tilsier at gebyret for en overtredelse må settes så høyt at denne
faktisk oppleves som et onde av overtrederen. Dette innebærer at overtrederens
økonomiske evne bør ha betydning ved utmålingen, slik at gebyret blir høyere desto
sterkere bæreevne overtrederen har. […] Ved vurdering av økonomisk bæreevne for et
foretak kan det være relevant å se hen til foretakets samlede globale årsomsetning i
forutgående regnskapsår, jf. art. 83 nr. 4 og 5.
Og videre:
Hensynet til å sikre en individuell vurdering i hvert enkelt tilfelle tilsier at
tilsynsmyndighetene bør unngå å etablere standardiserte gebyrsatser. Dette gjelder
selv om nasjonal rett åpner for standardiserte satser, jf. forvaltningsloven § 43.
Gebyret skal altså utmåles konkret i hvert tilfelle, og virke avskrekkende for den enkelte
virksomheten.
Personvernforordningen artikkel 83 nr. 5 fastsetter et høyere maksbeløp for gebyr når saken
omhandler overtredelser av de grunnleggende prinsippene for behandling av
personopplysninger i henhold til personvernforordningen artikkel 5 og 6.
Recover AS manglet behandlingsgrunnlag for innhenting kredittopplysninger om klager
(lovlighetsprinsippet). I tillegg har virksomheten hatt mangelfulle organisatoriske tiltak for
etterlevelse av personvernregelverket (ansvarlighetsprinsippet). Dette har trukket i skjerpende
retning.
5
Skullerud et al. (2019).
11
Vi vektlegger også i skjerpende retning at den ulovlige kredittvurderingen med enkle midler
kunne vært unngått ved å verifisere adressen med den nye kunden før dere søkte opp
vedkommende i Bisnode og fikk utlevert kredittopplysninger.
Vi legger også vekt på virksomhetens økonomi. Ifølge offentlige tilgjengelige regnskapstall,
er Recover AS registrert med en omsetning på kr 1 361 138 000 i 2020, og et årsresultat på kr
-609 000. Virksomheten er registrert med en egenkapital på kr 71 215 000 og en
tilfredsstillende soliditet.
Gebyret må settes så høyt at det er virkningsfullt og oppnår tilstrekkelig avskrekkende effekt.
Etter en helhetsvurdering sakens faktum og overtredelsens alvorlighet, har vi kommet til at et
overtredelsesgebyr på 200 000 kroner anses riktig.
7. Klagerett og videre saksgang
Dere kan klage på vedtaket. En eventuell klage må sendes til oss innen tre uker etter at dette
brevet er mottatt, jf. forvaltningsloven §§ 28 og 29. Dersom vi opprettholder vårt vedtak vil vi
sende saken videre til Personvernnemnda for klagebehandling.
Dersom dere ikke påklager pålegget om overtredelsesgebyr, er oppfyllelsesfristen 4 uker etter
klagefristens utløp, jf. personopplysningsloven § 27.
Fristen for å gjennomføre pålegget pkt. 2 om skriftlige rutiner (internkontroll) er 4 uker etter
klagefristens utløp. Dersom dere ikke påklager pålegget pkt. 2, må dere innen denne fristen
sende oss en skriftlig bekreftelse, samt dokumentasjon, på at pålegget om internkontroll er
gjennomført.
8. Offentlighet, innsyn og taushetsplikt
Vi vil informere dere om at alle dokumentene i utgangspunktet er offentlige, jf.
offentlighetsloven § 3. Dersom dere mener det er grunnlag for å unnta hele eller deler av
dokumentet fra offentlig innsyn, ber vi dere om å begrunne dette.
Datatilsynet har taushetsplikt om hvem som har klaget til oss, og om klagerens personlige
forhold. Taushetsplikten følger blant annet av personopplysningsloven § 24 og
forvaltningsloven § 13. Som part i saken kan dere likevel bli gjort kjent med slike
opplysninger av Datatilsynet, jf. forvaltningsloven § 13 b første ledd nr. 1. Dere har også rett
til innsyn i sakens dokumenter, jf. forvaltningsloven § 18.
Vi gjør oppmerksom på at dere har taushetsplikt om opplysninger dere får av Datatilsynet om
klagerens identitet, personlige forhold og andre identifiserende opplysninger, og at dere bare
kan bruke disse opplysningene i den utstrekning det er nødvendig for å ivareta interessene
deres i denne saken, jf. forvaltningsloven § 13 b andre ledd. Vi gjør også oppmerksom på at
brudd på denne taushetsplikten kan straffes etter straffeloven § 209.
12
Hvis dere har spørsmål om saken, kan dere ta kontakt med Marte Lindblad Skaslien på
telefon: 22 39 69 34.
Med vennlig hilsen
Jørgen Skorstad
avdelingsdirektør
Marte Lindblad Skaslien
juridisk seniorrådgiver
Dokumentet er elektronisk godkjent og har derfor ingen håndskrevne signaturer
Kopi til: Klager
13