Nýtt starfsleyfi Lánstrausts hf; Einstaklingar

Starfsleyfi fyrir Lánstraust hf.

til að annast söfnun og skráningu upplýsinga sem varða fjárhagsmálefni og lánstraust einstaklinga, í því skyni að miðla þeim til annarra, sbr. 33. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 4. tl. 1. mgr. 7. gr. reglna Persónuverndar nr. 698/2004 og 2. gr. reglugerðar nr. 246/2001, um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust .

1. gr.

Skilgreiningar og gildissvið

Lánstrausti hf., kt. 710197-2109, í leyfi þessu nefnt starfsleyfishafi, er heimilt að safna og miðla tilteknum persónuupplýsingum sem varða fjárhag og lánstraust einstaklinga, samkvæmt því sem nánar greinir í leyfinu.

Starfsleyfi þetta heimilar starfsleyfishafa hvorki útgáfu lánshæfiseinkunnar (credit score) né skýrslna um lánshæfi (credit-rating reports).

Starfsleyfið heimilar ekki vinnslu upplýsinga sem eðli sínu samkvæmt geta ekki haft þýðingu við mat á fjárhag og lánstrausti hins skráða. Aldrei er heimilt að taka í slíka skrá viðkvæmar persónuupplýsingar, sbr. 8. tl. 2. gr. laga nr. 77/2000, með áorðnum breytingum. Upplýsingar um skuldastöðu manna má ekki veita með þeim hætti að þær geti verið grundvöllur mats á fjárhagslegri stöðu annars en þess einstaklings er þær varða.

Starfsleyfi þetta heimilar ekki samtengingu skráa sem falla undir ákvæði leyfisins, nema að því leyti sem fellur innan 3. gr. starfsleyfisins. Að öðru leyti skal halda aðskildum þeim skrám sem til verða samkvæmt 2. gr. Þó má bjóða áskrifendum að leita samtímis í tveimur eða fleirum af þeim skrám sem haldnar eru á grundvelli starfsleyfis þessa.

2. gr.

Söfnun og skráning

upplýsinga um vanskil o.fl.

Starfsleyfi þetta heimilar söfnun upplýsinga um nöfn einstaklinga, heimilisföng þeirra og kennitölur auk fjárhagsupplýsinga. Þeirra má afla með eftirfarandi hætti:

a. Frá áskrifendum.

Frá áskrifendum má starfsleyfishafi safna upplýsingum um skuldir einstaklinga sem nema a.m.k. kr. 30.000,- að höfuðstóli, enda hafi hann fengið óyggjandi skriflega upplýsingar er staðfesti tilvist viðkomandi skuldar og um að a.m.k. eitt eftirfarandi skilyrða sé uppfyllt:

1. Skuldari hafi fallist á að greiða skuldina með sátt sem er aðfararhæf samkvæmt 1. gr. aðfararlaga nr. 90/1989.

2. Skuldara hafi sannanlega verið birt greiðsluáskorun vegna skuldarinnar, enda uppfylli hún öll skilyrði 7. gr. laga nr. 90/1989, og fyrir liggi að frestur samkvæmt því ákvæði sé liðinn.

3. Skuldara hafi með dómi, úrskurði eða áritaðri stefnu verið gert að greiða skuldina.

4. Fyrir liggi sannanlega vanefndur nauðasamningur sem skuldari hefur gert og áskrifandi er aðili að.

5. Skuldari hafi skriflega gengist við því fyrir kröfuhafa (áskrifanda) að skuld sé í gjalddaga fallin.

6. Skuldari hafi með sérstakri yfirlýsingu í láns- eða skuldaskjali, sem skuldin er sprottin af, fallist á að áskrifandi óski skráningar Lánstrausts á vanskilunum, enda séu skilyrði til þeirrar heimildar uppfyllt. Slík heimild skal vera áberandi og skýr í skjalinu og við það miðuð að vanskil hafi varað í a.m.k. 40 daga. Áskrifandi sem óskar skráningar á grundvelli slíkrar heimildar skal um leið ábyrgjast að honum sé ekki kunnugt um að skuldari hafi nokkrar réttmætar mótbárur gegn greiðslu skuldarinnar. Beiðni um skráningu skal undirrituð af lögmanni í þjónustu áskrifanda eða fulltrúa hans.

b. Úr opinberum gögnum.

Úr skrám sem aðgengilegar eru almenningi má starfsleyfishafi safna:

Starfsleyfi þetta heimilar söfnun ofangreindra upplýsinga í eitt miðlægt gagnasafn og miðlun þeirra með þeim aðferðum sem eru tæmandi taldar í 4. gr. leyfis þessa.

3. gr.

Upplýsingakerfi um

fjárhagsskuldbindingar

Starfsleyfi þetta heimilar rekstur upplýsingakerfis sem hefur það að markmiði veita lánveitendum, eða öðrum aðilum sem tengdir eru upplýsingakerfinu, upplýsingar um fjárhagsskuldbindingar skráðs einstaklings.

Óheimilt er að gera fyrirspurn í upplýsingakerfi starfsleyfishafa nema að beiðni hins skráða. Slík beiðni skal vera undirrituð í viðurvist starfsmanns þess aðila sem hefur aðgang að upplýsingakerfinu og skal hinn skráði framvísa persónuskilríkjum. Beiðnin má aðeins taka til einnar fyrirspurnar og skal framkvæma hana eigi síðar en þremur virkum dögum eftir undirritun beiðninnar.

Þegar fyrirspurn er gerð í upplýsingakerfið skal starfsleyfishafi afhenda eða senda afrit niðurstöðunnar til hins skráða. Er heimilt að nota sem póstfang það lögheimili sem viðkomandi hefur samkvæmt Þjóðskrá.

Starfsleyfishafi skal varðveita upplýsingar um fyrirspurnir, þ.e. hver gerði fyrirspurn, um hvern og um niðurstöður fyrirspurnarinnar, í 2 ár.

Rekstur upplýsingakerfisins er að öðru leyti bundinn eftirfarandi skilmálum:

Einungis má vinna með upplýsingar sem hafa raunverulega þýðingu um skuldastöðu hins skráða á þeim tíma þegar fyrirspurn fer fram. Óheimilt er að vinna með upplýsingar um skuldastöðu sem orðnar eru fjögurra ára gamlar og hafa ekki lengur þýðingu fyrir mat á skuldastöðu hins skráða.

4. gr.

Miðlun upplýsinga sem safnað er skv. 2. gr.

Upplýsingum þeim sem starfsleyfishafi má safna og skrá samkvæmt 2. gr. má hann miðla með eftirfarandi hætti:

a. Með símaþjónustu og beinlínutengingu við áskrifendur:

Starfsleyfishafi má veita áskrifendum upplýsingar símleiðis, en þó aðeins að því marki sem heimilt er samkvæmt 2. mgr. 6. gr. reglugerðar nr. 246/2001. Þá má veita eftirfarandi upplýsingar með beinlínutengingu, enda geri hún aðeins mögulegt að fletta einum einstaklingi upp í einu.

a.1. Upplýsingar frá áskrifendum/kröfuhöfum.

Af þeim upplýsingum sem starfsleyfishafi fær um vanskil frá einum áskrifanda, skv. a-lið 2. gr. má hann aðeins miðla til annarra áskrifenda upplýsingum um nafn, heimilisfang og kennitölu skuldara, hvort vanskil séu fyrir hendi þegar uppfletting fer fram og um fjárhæðir vanskila.

a.2. Upplýsingar úr almennt aðgengilegum skrám.

Af þeim upplýsingum sem starfsleyfishafi safnar úr opinberum gögnum og almennt aðgengilegum skrám, þ.e. skv. b-lið 2. gr., má hann aðeins miðla upplýsingum um nafn, heimilisfang og kennitölu skuldara, fjárhæð kröfu og hvort um sé að ræða dóm, áritun á stefnu, framkvæmt fjárnám, greiðslustöðvun, nauðungarsölu, gjaldþrotaskipti, innköllun eða skiptalok. Taka skal fram hvaðan viðkomandi upplýsingar eru fengnar.

Af þeim upplýsingum sem safnað er samkvæmt 2. gr., lið b.7., má þó ekki miðla upplýsingum um stofnendur nema félögin hafi verið úrskurðuð gjaldþrota á innan við þremur árum frá stofnun þeirra.

b. Með afhendingu skráar til Reiknistofu bankanna:

Starfsleyfishafi má afhenda Reiknistofu bankanna heildarsafn þeirra upplýsinga sem hann safnar úr opinberum og almennt aðgengilegum skrám, sbr. b-lið 2. gr., með þeirri aðferð og þeim skilyrðum sem greinir í a-lið þessarar greinar. Um notkun Reiknistofu bankanna á þeirri skrá fer nú samkvæmt gildandi lögum og stjórnvaldsreglum um meðferð persónuupplýsinga, auk starfsleyfa sem Reiknistofan hefur eða kann að fá og vinnslusamningum sem ábyrgðaraðilar hafa gert eða kunna að gera við hana.

c. Með afhendingu skrár til einstakra banka og sparisjóða vegna heimabankaþjónustu:

Starfsleyfishafi má semja beint við einstaka banka og sparisjóði um afhendingu heildarskrár gagngert og eingöngu til endursölu í heimabankaþjónustu. Sú skrá skal einungis bera með sér þær upplýsingar sem starfsleyfishafi safnar úr opinberum og almennt aðgengilegum skrám, skv. b-lið 2. gr., og skal einungis vera aðgengileg með þeirri aðferð og þeim skilyrðum sem greinir í a. lið þessarar greinar. Að öðru leyti skal um þá notkun, eftir því sem við á, fara samkvæmt þeim skilmálum sem almennt gilda um skrána samkvæmt starfsleyfi þessu, m.a. um rekjanleika fyrirspurna o.s.frv.

d. Með afhendingu lista yfir nauðungarsölur á fasteignum:

Þessi heimild er takmörkuð við þær framhaldssölur sem sýslumaður hefur þegar auglýst í samræmi við 2. mgr. 26. gr. laga nr. 90/1991.

e. Með "vanskilavakt":

Starfsleyfishafi má veita þjónustu sem felst í samkeyrslum skilgreindra kennitalna, skv. listum frá áskrifendum, við þá vanskilaskrá sem hann heldur, þó að því skilyrði uppfylltu að hann hafi áður tryggt að samkeyrslan sé í samræmi við 7. gr. og 7. tl. 1. mgr. 8. gr. laga nr. 77/2000.

5. gr.

Óheimil miðlun upplýsinga

Eyðing og leiðrétting upplýsinga

Óheimilt er að miðla upplýsingum um nafn skuldara ef starfsleyfishafa er kunnugt um að viðkomandi krafa sé fallin brott, s.s. vegna greiðslu, niðurfellingar eða skuldajöfnuðar. Á þetta við hvort heldur um er að ræða almennt aðgengilegar upplýsingar eða ekki. Sýni hinn skráði fram á að umrædd krafa sé fallin brott er starfsleyfishafa þ.a.l. óheimil öll frekari birting upplýsinga um viðkomandi einstakling í skrá. Með sama hætti skal eyða upplýsingum um skráðan kaupmála ef fyrir liggur að gengið hefur verið frá lögskilnaði þeirra aðila sem hann gerðu.

Persónuupplýsingum sem eru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skal eyða eða leiðrétta.

Óheimilt er að miðla upplýsingum um töku bús til gjaldþrotaskipta þegar birt hefur verið auglýsing um skiptalok.

Óheimilt er að skrá og/eða miðla fjárhagsupplýsingum sem eldri eru en fjögurra ára. Upplýsingar um töku bús til gjaldþrotaskipta má þó varðveita þar til birt hefur verið auglýsing um skiptalok. Þegar upplýsingar verða 4 ára gamlar skal skv. framanrituðu taka þær af þeim skrám sem miðlað er úr en starfsleyfishafa er þó heimilt að varðveita upplýsingarnar í 3 ár til viðbótar, enda lúti þær ströngum aðgangstakmörkunum og þess gætt að ekki hafi aðrir að þeim aðgang en þeir starfsmenn sem nauðsynlega þurfa starfs síns vegna. Að þeim fresti liðnum skal þeim eytt.

6. gr.

Réttur hins skráða

Um upplýsingarétt hins skráða, um rétt hans til að fá viðvaranir og um rétt hans til að fá rökstuðning fyrir ákvörðunum sem byggja á rafrænni vinnslu, fer samkvæmt III. kafla laga nr. 77/2000.

Einstaklingur sem er skráður hjá starfsleyfishafa á hvenær sem er rétt á að fá vitneskju um hvaða upplýsingar um hann er eða hefur verið unnið með, tilgang vinnslunnar, hver fái, hafi fengið eða muni fá upplýsingar um hann, hvaðan upplýsingarnar hafi komið og hvaða öryggisráðstafanir séu viðhafðar við vinnsluna, að því marki sem það skerðir ekki öryggi vinnslunnar.

Starfsleyfishafa er skylt að afhenda skráðum einstaklingi endurrit eða ljósrit af þeim upplýsingum sem hann hefur undir höndum um viðkomandi. Ekki má krefjast hærra endurgjalds af þessari þjónustu en sem nemur þeim upphæðum sem innheimta má á hverjum tíma skv. gjaldskrá forsætisráðuneytis fyrir ljósrit og afrit sem veitt eru á grundvelli upplýsingalaga, sbr. nú 2. gr. gjaldskrár nr. 838/2004.

Starfsleyfishafi skal verða við beiðni hins skráða um upplýsingar svo fljótt sem verða má og afhenda þær eigi síðar en innan tveggja vikna frá móttöku beiðninnar. Ef sérstakar ástæður valda því að ómögulegt er fyrir starfsleyfishafa að afgreiða erindið innan þess frests er honum heimilt að gera það síðar. Í slíkum tilvikum skal, innan ofangreinds frests, gefa hlutaðeigandi skriflegar skýringar á ástæðum tafarinnar og hvenær svars sé að vænta.

Hafi starfsleyfishafi í vörslum sínum frekari upplýsingar um hinn skráða en þær sem beiðni lýtur að skal starfsleyfishafi gera beiðanda grein fyrir því. Jafnframt skal gera hinum skráða grein fyrir rétti sínum til þess að fá að kynna sér efni skrár af eigin raun.

7. gr.

Skyldur starfsleyfishafa

7.1. Viðvörunarskylda

Þegar starfsleyfishafi safnar persónuupplýsingum í samræmi við ákvæði 2. gr. leyfis þessa skal hann gera hinum skráða viðvart og skýra honum frá þeim atriðum sem talin eru í 3. mgr. 21. gr. laga nr. 77/2000, með áorðnum breytingum. Skal hann senda slíka viðvörun eigi síðar en 14 dögum áður en hann miðlar upplýsingunum í fyrsta sinn.

Starfsleyfishafa er þó ekki skylt að senda slíka viðvörun ef ætla má að hinum skráða sé þegar kunnugt um vinnsluna, svo sem vegna þess að hann hafi áður fengið viðvörun frá starfsleyfishafa um þá vinnslu sem hann framkvæmir um hinn skráða, og ekki liggi fyrir að grundvallarbreyting hafi orðið á þeirri vinnslu. Þetta á þó ekki við hafi lengri tími en eitt ár liðið frá síðustu skráningu.

7.2. Vandaðir vinnsluhættir

Starfsleyfishafi skal, við alla meðferð persónuupplýsinga sem leyfi þetta tekur til, gæta þess að haga henni með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga. Í því felst m.a. að gæta ber þess að upplýsingarnar séu áreiðanlegar og uppfærðar eftir þörfum. Persónuupplýsingar sem eru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skal afmá eða leiðrétta. Hafi röngum eða villandi upplýsingum verið miðlað eða þær notaðar ber starfsleyfishafi, eftir því sem honum er frekast unnt, að hindra að það hafi áhrif á hagsmuni hins skráða.

7.3. Samningsgerð við áskrifendur

Í samningum starfsleyfishafa við áskrifendur skal koma fram:

Komi í ljós að áskrifandi brjóti gegn skilmálum í áskriftarsamningi ber starfsleyfishafa að grípa til viðhlítandi ráðstafana með það fyrir augum að hindra að slíkt endurtaki sig.

7.4. Öryggi vinnslu

Starfsleyfishafi skal gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar gegn ólöglegri eyðileggingu, gegn því að þær glatist eða breytist fyrir slysni og gegn óleyfilegum aðgangi. M.a. skal tryggður rekjanleiki uppflettinga þannig að í hvert skipti skráist hvaðan uppfletting fór fram og á hvaða aðgangsorði, hvaða upplýsingum var flett upp og hvenær. Sama gildir eftir því sem við á þegar upplýsingar eru sóttar um heimabanka.

Þegar um sjálfvirkar/hálfsjálfvirkar uppflettingar er að ræða skal starfsleyfishafi tryggja að hægt sé að rekja slíkar færslur til viðkomandi áskrifanda (þ.e. búnaðar í eigu hans).

Um varðveislu og eyðingu aðgerðaskrárinnar („logskrárinnar") gilda sömu reglur og gilda um varðveislu og eyðingu upplýsinga í vanskilaskrá. Að öðru leyti þarf starfsleyfishafi að uppfylla ákvæði reglugerðar nr. 299/2001 um öryggi persónuupplýsinga. Eru ákvæði reglnanna hluti skilmála þessa leyfis.

7.5. Vinnsluaðili

Starfsleyfishafa er heimilt að semja við tiltekinn aðila um að annast, í heild eða að hluta, þá vinnslu persónuupplýsinga sem hann ber ábyrgð á enda hafi hann áður sannreynt að umræddur vinnsluaðili geti framkvæmt viðeigandi öryggisráðstafanir og viðhaft innra eftirlit.

Hverjum þeim er starfar í umboði starfsleyfishafa eða vinnsluaðila, að vinnsluaðila sjálfum meðtöldum, og hefur aðgang að persónuupplýsingum, er aðeins heimilt að vinna með persónuupplýsingar í samræmi við fyrirmæli ábyrgðaraðila nema lög mæli fyrir á annan veg.

7.6. Starfsmenn

Hver sá sem starfar hjá starfsleyfishafa er þagnarskyldur um þau atriði sem hann kemst að í starfi sínu og leynt eiga að fara. Sérhver starfsmaður starfsleyfishafa skal undirrita þagnarheit þegar eftir útgáfu leyfis þessa, hafi hann ekki þegar gert það. Nýir starfsmenn skulu undirrita slíkt heit þegar þeir hefja störf hjá starfsleyfishafa.

Upplýsingagjöf samkvæmt starfsleyfi þessu mega einungis annast þeir starfsmenn Lánstrausts hf. sem eru og verða sérstaklega til þess valdir og Persónuvernd tilkynnt um.

7.7. Skýrslugjöf til Persónuverndar

Starfsleyfishafi skal ársfjórðungslega tilkynna Persónuvernd um hve margir hafi aðgang að skrám hans og hverjir það eru, hve margir einstaklingar eru á skránum og hve mikið sé skráð af hverri tegund upplýsinga.

7.8. Annað

Auk ákvæða starfsleyfis þessa skal starfsleyfishafi ávallt fara að lögum um persónuvernd og meðferð persónuupplýsinga eins og þau lög eru á hverjum tíma, sbr. nú lög nr. 77/2000 með áorðnum breytingum, auk annarra laga og réttarreglna sem í gildi eru hverju sinni, sbr. m.a. reglugerð nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust og reglur nr. 299/2001 um öryggi persónuupplýsinga.

8. gr.

Gildistími

Starfsleyfi þetta tekur gildi hinn 1. september 2006 og gildir til 1. september 2007.