Kredittsjekk uten samtykke: når er det lov?

Du søkte om et lån, tegnet et strømabonnement eller bestilte en mobil på faktura. Ingen ba deg krysse av for noe, men noen dager senere kom det et brev fra et kredittopplysningsforetak med en oversikt over økonomien din. Det er ikke en feil. Kredittsjekk uten samtykke er hovedregelen, ikke unntaket.

To krav må være oppfylt samtidig, og de retter seg mot hver sin part:

• Den som bestiller vurderingen må ha rettslig grunnlag etter personvernforordningen artikkel 6 nr. 1 — i praksis oftest bokstav f, berettiget interesse. Datatilsynet stiller tre kumulative vilkår: det må foreligge en berettiget interesse, behandlingen må være nødvendig for den interessen, og interesseavveiningen må falle ut i bestillerens favør.
• Kredittopplysningsforetaket har en selvstendig plikt etter kredittopplysningsloven § 14: opplysninger kan «bare utleveres til mottakere som har saklig behov for opplysningene i forbindelse med vurdering av kredittevne».

Legg merke til hvor snevert § 14 er formulert. Behovet skal knytte seg til kredittevne. Nysgjerrighet, en gammel konflikt eller en generell interesse i å vite hvordan noen har det økonomisk, er ikke saklig behov uansett hvor sterkt den som spør måtte føle det.

Hvorfor samtykke som regel ikke duger

Det høres bakvendt ut, men et samtykke ville gitt deg dårligere vern, ikke bedre. Et gyldig samtykke etter personvernforordningen må være frivillig, og i en kredittsituasjon er det sjelden reelt frivillig.

Datatilsynet formulerer det slik: «Dersom enkeltpersoner for eksempel ikke får kjøpt varer eller tjenester fordi de ikke samtykker til kredittvurdering, vil de negative konsekvensene av å ikke samtykke og presset om å samtykke i situasjonen gjøre at et eventuelt samtykke ikke oppfyller kravet til frivillighet.»

Konsekvensen er at virksomheten må stå på egne ben. Den kan ikke skyve ansvaret over på deg ved å be om et kryss i en boks. Den må kunne begrunne at den hadde berettiget interesse, at sjekken var nødvendig, og at interessene dine ikke veier tyngre. Klarer den ikke det, er sjekken ulovlig — også om du krysset av.

Hva som er saklig behov

Fellesnevneren er at du skal få noe før du betaler for det. Da har motparten en reell risiko for å ikke få oppgjør, og det er den risikoen kredittvurderingen skal måle.

Situasjon	Saklig behov?	Hvorfor
Konkret søknad om lån eller kreditt	Ja	Kredittyteren har til og med plikt til å foreta en grundig vurdering av kredittevnen, jf. finansavtaleloven § 5-2
Mobilabonnement med etterskuddsfaktura	Ja	Datatilsynets eget skoleeksempel på en kredittsituasjon: tjenesten leveres før den betales
Strømavtale med etterskuddsfakturering	Ja	Samme resonnement — du forbruker først og betaler etterpå
Kjøp på faktura eller avbetaling	Ja	Selgeren yter kreditt i perioden fram til betaling
Du betaler kontant eller med kort i kassen	Nei	Ingen kreditt ytes, og dermed ingen kredittrisiko å vurdere
Naboen som skal bygge, sjekket via firmaet sitt	Nei	Datatilsynet trekker dette fram som ulovlig og har ilagt overtredelsesgebyr i flere slike saker
Tidligere ektefelle under skilsmisseoppgjør	Nei	Samme sak. Et økonomisk oppgjør mellom private er ikke vurdering av kredittevne
Kredittovervåking av en privatperson	Nei	§ 14 tillater bare løpende overvåking av juridiske personer

To praktiske skranker følger av samme paragraf. Opplysninger kan bare utleveres på grunnlag av «søkekriterier som gir unike treff» — ingen kan be om en liste over alle med anmerkning i et postnummer. Og «tilgang til direkte søk i kredittopplysninger skal ikke gis til privatpersoner». En daglig leder som bruker bedriftens abonnement til private ærend, bryter altså både grunnlagskravet og tilgangsreglene.

Arbeidsgivere er en egen sak med egne kriterier. Den står i kan arbeidsgiver kredittsjekke deg?

Gjenpartsbrevet er varselet ditt

Fordi kredittsjekken skjer uten at du sier ja, har loven lagt inn et etterhåndsvarsel i stedet. Kredittopplysningsloven § 18: ved utlevering av kredittopplysninger om fysiske personer skal gjenpart «samtidig sendes vederlagsfritt til den registrerte». Brevet skal blant annet oppgi hvem som har etterspurt opplysningene og hvilke kilder de er hentet fra. Hele innholdslisten står i kredittsjekk og gjenpartsbrev.

Brevet skal dessuten komme i nøytral konvolutt. Kredittopplysningsforskriften § 6 forbyr at foretakets navn eller logo står utenpå forsendelsen.

Du fikk gjenpartsbrev på noe du ikke kjenner igjen

Gå fram i denne rekkefølgen. De første to stegene tar en halvtime til sammen.

1. Les hvem som spurte. Punkt 4 i gjenpartsbrevet oppgir bestilleren. Ofte er det en samarbeidspartner, en låneformidler eller et konsernselskap med et navn du ikke kjente — altså en forklaring, ikke en sak.
2. Spør bestilleren skriftlig hvorfor. Virksomheten har informasjonsplikt etter personvernforordningen artikkel 12 og 14, og Datatilsynet er tydelig på fristen: den skal svare «så snart som mulig, og senest innen en måned» etter at den fikk henvendelsen din. Be om å få oppgitt det rettslige grunnlaget, ikke bare en forklaring.
3. Vurder om det kan være identitetsmisbruk. Datatilsynet skriver rett ut at et gjenpartsbrev du ikke skjønner hvorfor du har fått, kan være et tegn på snoking eller ID-tyveri. Er det snakk om en lånesøknad du ikke har sendt, gjelder hele beredskapen ved ID-tyveri — og du bør sette kredittsperre samme dag.
4. Be om innsyn hos kredittopplysningsforetaket. Du har krav på å få vite hvilke opplysninger som er utlevert om deg de siste seks månedene og hvem de gikk til, jf. § 17. Fremgangsmåte og ferdig mal ligger i innsyn, retting og sletting.
5. Klag til Datatilsynet hvis svaret uteblir eller ikke holder.

Klageveien til Datatilsynet

Datatilsynet er tilsyns- og klageorgan for kredittopplysningsvirksomhet. Kredittopplysningsloven § 28 gjør personvernforordningen artikkel 55 til 58 og personopplysningsloven §§ 20 til 25 gjeldende for tilsyn og klage etter loven, og artikkel 77 gir enhver registrert rett til å klage til tilsynsmyndigheten.

En klage bør inneholde:

• Hvem du klager på — bestilleren av kredittvurderingen, kredittopplysningsforetaket, eller begge.
• Hva som skjedde, med dato og kopi av gjenpartsbrevet.
• At du har henvendt deg til virksomheten selv, og hva den svarte (eller at den ikke svarte innen måneden).
• Hva du mener er galt: manglende rettslig grunnlag, manglende saklig behov etter § 14, eller manglende gjenpartsbrev.

Sanksjonene er reelle. Kredittopplysningsloven § 27 gjør personvernforordningen artikkel 82 og 83 nr. 5 og personopplysningsloven §§ 26 til 30 gjeldende — det vil si overtredelsesgebyr, tvangsmulkt og erstatning. Datatilsynet opplyser selv at det i flere saker har ilagt overtredelsesgebyr til virksomheter der daglig leder kredittvurderte noen for egen privat bruk.

Klagen koster ingenting. Det gjør heller ikke innsynet du ber om underveis — kredittopplysningsloven § 17 slår fast at innsyn skal være gratis for den registrerte.

Én ting kredittsjekken ikke gjør

Den etterlater seg ikke spor som andre kan bruke mot deg. Kredittopplysningsloven § 13 er én setning: «Opplysninger om tidligere forespørsler om kredittopplysninger kan ikke brukes i kredittopplysningsvirksomhet.» At du har vært sjekket ti ganger i høst, kan altså ikke inngå i vurderingen neste gang.

Det betyr ikke at søknadsrunder er gratis i alle henseender. Banken du søkte hos husker deg selv, og det er en helt annen mekanisme — se avslag selv om anmerkningen er slettet.