Kredittopplysning

Mange foretakstjenester viser nøkkeltall, regnskap og en form for risikovurdering. Kredittopplysningsloven er en særlov med egne og strengere regler for den som driver kredittopplysningsvirksomhet. Kapitlet forklarer hva som utløser loven og hva den krever. Virkeområdet må vurderes ut fra den konkrete behandlingen.

Hva loven krever

Virkeområdet

Kredittopplysningsloven § 1 første ledd: «Loven gjelder for utlevering og annen behandling av opplysninger som ledd i kredittopplysningsvirksomhet dersom annet ikke er bestemt i eller i medhold av lov.»¹ Etter annet ledd regnes blant annet «c. Brønnøysundregistrenes behandling av lovpålagte registre,»² ikke som kredittopplysningsvirksomhet. Unntaket gjelder registerforvalteren, ikke den som bruker dataene videre.

Tre definisjoner i § 3 avgjør om loven gjelder:

Definisjonen i bokstav d har tre ledd som alle må være oppfylt: utlevering av kredittopplysninger, som skjer ervervsmessig eller stadig, og i den hensikt å belyse kredittevne.

Forholdet til personvernforordningen

«Personopplysningsloven og personvernforordningen gjelder for behandling av personopplysninger i kredittopplysningsvirksomhet dersom annet ikke følger av denne loven.»⁶ Kredittopplysningsloven er altså lex specialis: der den har en regel, går den foran; ellers gjelder forordningen fullt ut. Forholdet mellom lovene er behandlet i kapittel 01.

Pliktene som følger

Når loven gjelder, får virksomheten plikter som en vanlig foretakstjeneste ikke har:

• Saklig behov og ingen direkte søk for privatpersoner. «Kredittopplysninger kan bare utleveres til mottakere som har saklig behov for opplysningene i forbindelse med vurdering av kredittevne. […] Tilgang til direkte søk i kredittopplysninger skal ikke gis til privatpersoner.»⁷
• Kredittsperre. «Den registrerte har rett til å motsette seg at opplysninger utleveres i kredittopplysningsvirksomhet (kredittsperre). Dersom den registrerte har registrert kredittsperre, er det kun informasjon om kredittsperren som kan utleveres.»⁸
• Gjenpart. «Ved utlevering av kredittopplysninger om fysiske personer skal gjenpart, kopi eller annen melding om innholdet i kredittopplysningene samtidig sendes vederlagsfritt til den registrerte.»⁹
• Forhåndsvarsel. «Når kredittopplysninger om en fysisk person registreres i et kredittopplysningsregister, skal den behandlingsansvarlige straks sende kopi av opplysningene til den registrerte.»¹⁰

Juridiske personer

For score på selskaper har loven en egen regel: «Som grunnlag for kredittrating eller kredittscore av juridiske personer er det bare tillatt å gjøre bruk av opplysninger om den juridiske personen. Opplysninger om personer i ledende stillinger hos den juridiske personen kan likevel brukes som grunnlag for utarbeidelse av kredittrating eller kredittscore frem til første regnskap er tilgjengelig.»¹¹

Hva Datatilsynet sier

Enkeltpersonforetak er fysiske personer. «Enkeltpersonforetak skal likestilles med fysiske personer.»¹² Tilsynet forklarer at det tidligere skillet mellom registrerte og uregistrerte enkeltpersonforetak er borte: «Dette skillet gjelder ikke lenger, og alle enkeltpersonforetak skal nå behandles som fysiske personer.»¹³ Det betyr at gjenpart, forhåndsvarsel og kredittsperre gjelder fullt ut når et enkeltpersonforetak vurderes.

Ingen forhåndsgodkjenning. «Nye kredittopplysningsvirksomheter trenger ikke lenger søke konsesjon fra Datatilsynet før virksomheten starter opp. Reglene retter seg mot kredittopplysningsvirksomhetene, og disse er selv ansvarlige for å innrette virksomheten sin i tråd med regelverket.»¹⁴ Det er altså virksomheten selv som må vurdere om den driver kredittopplysningsvirksomhet. Ingen myndighet gjør det for den på forhånd.

Forarbeidene teller. Tilsynet opplyser at «Noen av pliktene som er beskrevet i denne veiledningen følger direkte av ordlyden i loven, mens andre er utledet av forarbeidende til loven.»¹⁵ Forarbeidene, Prop. 139 L (2018–2019), er i kildelisten og sitert under «Under vurdering» ¹⁶.

To avgjørelser fra Personvernnemnda.

• PVN-2020-19 (Bergens Tidende). «Saken gjelder klage fra A på Datatilsynets vedtak 18. februar 2020 om at innhenting og publisering av kredittopplysninger om ham i en avisartikkel i Bergens Tidende sommeren 2019 er gjort utelukkende for journalistiske formål og dermed ikke er i strid med personopplysningsloven, jf. personopplysningsloven § 3.»¹⁷ Nemnda opprettholdt vedtaket: «Konklusjon Datatilsynets vedtak opprettholdes. Vedtaket er enstemmig.»¹⁸ For andre enn redaksjoner er det viktigste nemndas presisering: «Loven kommer til anvendelse på vanlig måte når behandlingen delvis har andre formål, for eksempel reklame for varer og tjenester, jf. Prop. 56 LS (2017-2018), kap. 14.1. Det avgjørende er virksomhetens art og ikke hvilken formell eller yrkesmessig status den behandlingsansvarlige har.»¹⁹ Merk: nemnda gjengir personopplysningsloven § 3 med ordlyden «For behandling av personopplysninger utelukkende for journalistiske formål […] gjelder bare bestemmelsene i personvernforordningen artikkel 24, 26, 28, 29, 32 og 40 til 43»²⁰. Gjeldende § 3 første ledd lyder annerledes: «Så langt det er nødvendig for utøvelsen av retten til ytrings- og informasjonsfrihet, gjelder ikke personvernforordningen og loven her ved behandling av personopplysninger for journalistiske formål»²¹. Lovdata opplyser om paragrafen: «Endret ved lov 18 juni 2021 nr. 124 (ikr. 1 jan 2022 iflg. res. 18 juni 2021 nr. 1967 ).»²² Saken ble behandlet før endringen trådte i kraft, og avgjørelsen må leses med den ordlyden den bygget på.
• PVN-2024-19. «Saken gjelder klage fra både A og X kommune på Datatilsynets vedtak 21. mars 2024. X kommune klager på ileggelsen av et overtredelsesgebyr på 85 000 kroner for å ha innhentet gjeldsopplysninger om A fra Gjeldsregisteret AS uten rettslig grunnlag.»²³ Saken gjaldt den som bestiller opplysninger, ikke den som leverer dem. Gebyret falt bort fordi saken hadde tatt for lang tid, ikke fordi innhentingen var lovlig: «Den samlede saksbehandlingstiden vil overstige fire år fra klagen ble inngitt. Saken er derfor ikke er avgjort innen rimelig tid,»²⁴ (skrivefeilen står i kilden). Saken viser at også den som bestiller, har selvstendige plikter.

Foretaksscore og personopplysninger

Byggsikts publiserte risikoscore gjelder selskaper og bygger på foretakets regnskaps- og foretaksopplysninger. Den viser ikke en score på person-, eier- eller enkeltpersonforetakssider. Dette beskriver produktets avgrensning; det avgjør ikke alene hvilke rettsregler som gjelder.

Kredittopplysningslovens virkeområde avhenger av behandlingens formål og funksjon, blant annet om opplysninger behandles i den hensikt å belyse kredittevne. Navnet på en indikator eller at den gjelder en juridisk person, avgjør ikke spørsmålet alene. § 12 regulerer bruk av personopplysninger i kredittvurdering av juridiske personer; bestemmelsen er ikke et generelt unntak fra loven. ^{25 16}

En vurdering av et selskap er heller ikke automatisk en vurdering av hver eier eller hvert styremedlem. Om en opplysning også gjelder en identifiserbar fysisk person, må vurderes konkret. ²⁶

Rettslige plikter kan ikke fravikes ved å akseptere en risiko internt. Dersom en behandling omfattes av kredittopplysningsloven, må kravene som gjelder for behandlingen, oppfylles. Innlogging alene er ikke tilstrekkelig. ²⁷

Spørsmål om opplysninger som gjelder deg, og om innsyn, retting, sletting eller protest, kan sendes til [email protected]. Se personvernerklæringen.

Kilder

• Lov om behandling av opplysninger i kredittopplysningsvirksomhet (kredittopplysningsloven), LOV-2019-12-20-109 ²⁷
• Datatilsynet: For virksomheter som driver med kredittvurdering ²⁸
• Personvernforordningen og personopplysningsloven § 3 ²⁹
• Personvernnemnda PVN-2020-19 ³⁰ og PVN-2024-19 ³¹
• Enhetsregisterloven 2025 § 9-1 ³²
• Prop. 139 L (2018–2019) ¹⁶
• Proff, selskapsside for et aksjeselskap (sammenligning) ³³