Personupplysningar: legitimt behov

En personupplysning (en kreditupplysning avseende en privatperson, dvs någon som inte är enskild näringsidkare eller intressent, se nedan) får bara beställas av den som har ett sk legitimt behov av upplysningen. Detta innebär att den som beställer en personupplysning skall ha ingått ett kreditavtal eller vara på väg att ingå ett kreditavtal med den som upplysningen avser, eller att beställaren av upplysningen har någon annan anledning att göra en ekonomisk riskbedömning av den som omfrågas. En kreditgivare kan ha ett legitimt behov av att beställa en personupplysning avseende en kreditsökande, en hyresvärd kan ha ett legitimt behov att kontrollera tilltänkt hyresgäst, en bostadsrättsförening kan ha ett legitimt behov att kontrollera en tilltänkt medlem, en arbetsgivare kan ha ett legitimt behov att kontrollera en person som skall anställas och ges ekonomiskt ansvar etc.

Upplysningar om enskilda näringsidkare och intressenter

En kreditupplysning avseende en enskild näringsidkare eller en intressent (en VD, styrelseledamot, firmatecknare, innehavare av större aktiepost eller någon annan med väsentligt inflytande i en näringsverksamhet) kan beställas utan krav på att beställaren skall ha ett legitimt behov av upplysningen.

Upplysningskopia

När en kreditupplysning avseende fysiska personer lämnas ut skall enligt bestämmelserna i 11 § Kreditupplysningslagen en kopia av de uppgifter som lämnas ut tillställas den omfrågade. Av kopian skall även framgå vem som har beställt upplysningen. Från och med den 1 oktober 1997 skall en sådan kopia också lämnas när en upplysning om ett handels- eller kommanditbolag lämnas ut.

Sanktioner

Om kreditupplysningar beställs i strid med bestämmelserna i kreditupplysningslagen kan konsekvensen bli att D&B inte längre kan leverera upplysningar till den kund som brutit mot dessa bestämmelser. 

Datalagen innehåller bestämmelser om personregister, dvs. register över fysiska personer som förs med hjälp av automatisk databehandling, AD&B. Registeransvarig är "den för vars verksamhet" ett register förs. Detta betyder normalt att det är det företag eller den organisation där registret används som är registeransvarig. Ansvaret för att företaget fullgör sina åligganden ligger hos företagsledningen.

Observera att den som lagrar personuppgifter på eget datamedium alltså ansvarar för att bestämmelserna i datalagen följs.

Licens och tillstånd

För att få föra personregister krävs att den registeransvarige har en licens. Utöver licens kan ett särskilt tillstånd behövas för ett register som

• innehåller uppgifter om andra än anställda, kunder, medlemmar eller liknande,
• innehåller vissa uppgifter som enligt datalagen skall betraktas som särskilt känsliga (t.ex. uppgift om brott, hälsotillstånd, sexualliv, värderande uppgifter eller omdömen)
• innehåller uppgifter som inhämtas från ett annat personregister ("samkörning").

Datainspektionen (tillstånds- och tillsynsmyndigheten) lämnar licenser och meddelar tillstånd.

Insyn och rättelse

Den som för personregister är skyldig att rätta alla felaktigheter och att på begäran från en enskild lämna ett registerutdrag som visar vilka uppgifter som finns registrerade om den enskilde.

Innehållet i ett kreditupplysningsregister

Innehållet i ett kreditupplysningsregister regleras genom bestämmelserna i 11 § Personregisterlagen. Ett kreditupplysningsregister får endast användas i verksamhet som syftar till att ge information som belyser kreditvärdighet eller ekonomisk vederhäftighet (Personregisterlagen 13 §).

Sakligt behov av kreditupplysningar

Enligt norsk lagstiftning (17 § Lov om personregistre m.m.) får en kreditupplysning beställas endast av den som har sakligt behov för att beställa upplysningen. Kravet på sakligt behov gäller vid beställing av upplysningar både om fysiska personer och om företag.

Upplysningskopia

Enligt den Personregisterlagen (19 §) skall D&B i vissa fall skicka en s.k. omfrågadkopia av en lämnad upplysning till den som omfrågas i upplysningen. Omfrågadkopia skall lämnas när D&B lämnar ut en kreditupplysning om en fysisk person som inte är näringsidkare, dvs. konsument. Av kopian skall framgå vilka uppgifter som finns registrerade om den omfrågade hos D&B och information om vem som är slutanvändare av upplysningen (beställaruppgift).

Om information om en fysisk person som är intressent (styrelseordförande eller extern VD med ett aktieinnehav i bolaget som överstiger 20%) används vid beräkning av rating för ett företag skall omfrågadkopia lämnas till intressenten. Av kopian skall vid sidan av beställaruppgift framgå vilken information om intressenten som har använts vid beräkningen.

Tillstånd för personregister

För personregister som förs i privat sektor måste enligt huvudregeln tillstånd sökas hos Datatilsynet. Vissa typer av register är dock undantagna tillståndsplikt (t.ex. kundregister, medlemsregister samt löne- och personalregister).

Rätt till insyn och rättelse

Den som för personregister är skyldig att rätta alla felaktigheter och att på begäran från en enskild lämna ett registerutdrag som visar vilka uppgifter som finns registrerade om den enskilde.

Sanktioner