Nusvar AB

Datainspektionens beslut

Datainspektionen konstaterar att Nusvar AB (org. nr 556991-1224) under perioden december 2018 – 8 april 2019 har bedrivit kreditupplysningsverksamhet och därvid har 1. överträtt artikel 10 dataskyddsförordningen och 6 § andra stycket kreditupplysningslagen genom att behandla uppgifter om lagöverträdelser utan Datainspektionens medgivande, 2. överträtt artikel 5 dataskyddsförordningen genom att behandla personuppgifter som är för omfattande, inadekvata och irrelevanta i förhållande till ändamålet (kreditupplysningsändamål), 3. handlat i strid med 9 § kreditupplysningslagen genom att inte efterleva kravet på legitimt behov när kreditupplysning lämnats ut om fysisk person som inte är näringsidkare, och 4. handlat i strid med 11 § kreditupplysningslagen genom att inte sända den omfrågade en kreditupplysningskopia när en kreditupplysning lämnas ut om en fysisk person.

Datainspektionen beslutar med stöd av 6 kap. 3 § dataskyddslagen och artiklarna 58.2 och 83 i dataskyddsförordningen att Nusvar AB ska betala en administrativ sanktionsavgift på 35 000 EUR.

Redogörelse för tillsynsärendet

Datainspektionen har genom klagomål från allmänheten uppmärksammat att Nusvar AB (Bolaget) lämnat ut personuppgifter rörande bland annat ekonomisk information om alla Sveriges invånare som är 16 år och äldre via Bolagets webbplats www.mrkoll.se (webbplatsen). Webbplatsen omfattas av ett sådant utgivningsbevis som regleras i 1 kap. 5-7 §§ yttrandefrihetsgrundlagen (1991:1469).

Datainspektionen har inlett tillsyn mot Bolaget i syfte att utreda i vad mån Bolaget via webbplatsen bedriver verksamhet som är att betrakta som kreditupplysningsverksamhet och, om så är fallet, i vad mån Bolaget efterlevt dataskyddsförordningens och kreditupplysningslagens förbud mot behandling av uppgifter om lagöverträdelser som innefattar brott och dataskyddsförordningens krav på uppgiftsminimering samt kreditupplysningslagens krav på legitimt behov och kreditupplysningskopia.

Tillsynsärendet inleddes med en tillsynsskrivelse den 18 december 2018. Svar på tillsynsskrivelsen kom in den 30 december 2018. Datainspektionen

genomförde en inspektion på plats hos Bolaget den 9 april 2019. Protokoll från inspektionen har upprättats och översänts till Bolaget för synpunkter. Yttrande över protokoll kom in den 5 maj 2019. En kompletterande skrivelse från Bolaget kom in den 29 maj 2019.

Vad som framkommit i ärendet

Webbplatsen är en kommersiell näringsverksamhet som huvudsakligen bedrivs på grundval av annonsintäkter. Syftet med Webbplatsen är att tillgängliggöra offentlig information om privatpersoner av allmänintresse, såsom exempelvis personnummer, bostadssituation, fordonsinnehav, rättsinformation samt viss annan information som inte är offentlig, exempelvis telefonnummer. Användaren loggar in på webbplatsen och kan ta del av den publicerade informationen gratis.

Det har under utredningen framkommit att Bolaget får information till Webbplatsen från ett drygt tiotal olika leverantörer, bland annat Bolagsverket och kreditupplysningsföretaget Yellow-Belly Decision Systems AB (Yellow-Belly). Verksamheten startade genom att Bolaget tog emot ett så kallat baslyft avseende grunddata från kreditupplysningsföretaget Yellow- Belly under november 2018. Yellow-Belly lyfte då ut en folkbokföringsdatabas, vilken omfattade personnummer och adresser. Bolaget hämtade sedan dess in uppdaterad information från Yellow-Belly var 14:e dag avseende personnummer, adresser, bolagsinformation och klusterinformation, såsom aggregerad områdesinformation och aggregerad ekonomisk information. Den ekonomiska information som aggregeras består av inkomstuppgifter och betalningsanmärkningar.

Samtlig information sammanställs av Bolaget. Viss information är klusterinformation, med vilket avses information om ca 22 till 2 000 personer som klumpas ihop. Klustersammanställningarna utgår från var den av användaren eftersökta personen bor. Den ekonomiska klusterinformationen består av runt 22-28 personer. Därefter tolkar Bolaget informationen och skapar begripliga texter utifrån dessa data som finns tillgängliga på webbplatsen. Informationen presenteras på webbplatsen i olika ”block”.

Särskilt om blocket Sammanfattning

I blocket ”sammanfattning” sammanställs viss information från de övriga blocken. Av den ekonomiska klusterinformationen framgår exempelvis uppgift om betalningsanmärkningar. Om det inom klustret finns fler betalningsanmärkningar än noll, framgår det att det finns

betalningsanmärkningar i det aktuella området. Det lämnas då ingen individuell information om den eftersökte personen. Om det inte finns några betalningsanmärkningar inom klustret, dvs. om ingen av de 22-28 personer som ingår i den eftersökta personens kluster har någon betalningsanmärkning, anges uttryckligen att den eftersökta personen saknar betalningsanmärkningar, ”X har inga betalningsanmärkningar”.

Vidare framgår av blocket ”Sammanfattning” hur ofta personen i fråga är eftersökt på Webbplatsen. Detta är information som Bolaget själv tar fram baserat på hur många gånger personen har eftersökts och visats på Webbplatsen under månaden. Information om antalet sökningar på Webbplatsen innebär inte att någon har betalat för att få ta del av information om personen i fråga. Informationen om antalet sökningar nollställs vid varje månadsskifte.

Särskilt om blocket Åtal, domar och rättsprocesser

Bolaget sammanställer informationen, vilken kommer från domstolarna (tingsrätterna, hovrätterna, Högsta domstolen samt förvaltningsrätterna i förekommande fall beroende på vad det är för karaktär på målet). För det fall en eftersökt person har åtalats för något eller några brott framkommer detta på Webbplatsen i det aktuella blocket genom att det om den eftersökta personen står exempelvis ”X har varit åtalad vid en domstol i ett rättsfall som avsett brottmål” (denna information presenteras även i blocket ”Sammanfattning”).

Användare av Webbplatsen kan ta del av själva domen direkt på Webbplatsen genom att betala 99 kronor till Bolaget. När betalningen genomförts visas en sammanfattning av de aktuella domarna inklusive domslutet direkt på Webbplatsen i det aktuella blocket. Bolaget gör inte egna sammanfattningar av domarna, utan dessa levereras av domstolarna. Användare som har betalat för att få ta del av domarna har tillgång till dessa under 24 timmar på Webbplatsen.

Särskilt om blocket Ekonomi

Bolaget sammanställer den ekonomiska informationen. Denna bygger på klusterinformation som Yellow-Belly har levererat och de aggregeringar som Yellow-Belly har gjort och det är så informationen under rubrikerna ”De flesta tjänar”, ”En granne (eller personen själv) tjänar” och ”Löneindikatorn” tas fram.

Klusterinformationen består av runt 22-28 personer som väljs utifrån den eftersökta personens adress som sedan klumpas ihop. Informationen i löneindikatorn bygger på en jämförelse av hela landets medianlön med medianlönen i det aktuella klustret.

Under rubriken ”Inkomst aktuellt år” finns de sex raderna ”Antal betalningsanmärkningar”, ”Inkomst av tjänst”, ”Beskattningsbar inkomst”, ”Inkomst av kapital”, ”Aktiv näringsverksamhet” och ”Passiv näringsverksamhet”. Dessa rader är, med ett undantag, inte ifyllda så länge den enskilde användaren inte köper en kreditupplysning för 49 kronor. Undantaget är raden ”Antal betalningsanmärkningar” i det fall då ingen person i den eftersökta personens kluster har någon betalningsanmärkning, dvs. i samma situation som det står ”X har inga betalningsanmärkningar” i blocket ”Sammanfattning”. I dessa fall kommer det i raden för ”Antal betalningsanmärkningar” stå att den eftersökte har ”0 st”. Om någon i klustret har en betalningsanmärkning lämnas fältet tomt. Dessa sex rader omfattas av Bolagets utgivningsbevis. Det är således Bolaget som ansvarar för dessa sex rader. Innehållet i, och ansvaret för, informationen i de sex raderna ändras dock om användaren väljer att köpa en kreditupplysning för 49 kronor av Yellow-Belly, se nedan.

Särskilt om blocket Boende och grannar

Bolaget sammanställer information om boende och grannar, vilken kommer från Lantmäteriet. Information om uppskattat värde av eventuell bostadsrätt eller fastighet bygger på en algoritm som Bolaget har tagit fram som baseras på mäklarstatistik.

Särskilt om blocket Popularitet

Bolaget sammanställer informationen. Detta är samma information som har utvecklats under blocket ”Sammanfattning” ovan. I detta block framgår det även hur eftersökt personen är under rubriken ”Topplacering” och vilka andra personer som också har eftersökts på Webbplatsen under rubriken ”Besöks också”. Informationen i detta block nollställs vid varje månadsskifte.

Särskilt om blocket Om grannskapet

Bolaget sammanställer informationen, vilken främst är en upprepning av övrig information på Webbplatsen och bygger främst på aggregerad information. I detta block framgår även medelåldern bland grannarna till den eftersökta personen och medelinkomsten i grannskapet.

Övriga block som framgår av webbplatsen:  Telefonnummer  Folkbokföring  Bolagsengagemang  Fordonsinnehav  Personkopplingar  Födelsedag  Stjärntecken  Äktenskap  Hushållet

Bolagets uppgifter rörande kravet på legitimt behov och kreditupplysningskopia

Bolaget anser inte att Bolaget bedriver kreditupplysningsverksamhet genom att tillhandahålla webbplatsen. Bolaget behöver därför inte beakta bestämmelserna om legitimt behov och kreditupplysningskopia. Kreditupplysningsverksamhet bedrivs endast när användaren via webbplatsen köper en fullständig kreditupplysning om den eftersökte för 49 kronor. Denna kreditupplysningsverksamhet bedrivs av Yellow-Belly. Bolaget är endast Yellow-Bellys återförsäljare.

Bolagets uppgifter om verksamheten som återförsäljare av Yellow- Bellys kreditupplysningar

Bolaget uppger att Bolaget är återförsäljare av Yellow-Bellys kreditupplysningsprodukt på webbplatsen. En kreditupplysning kostar 49 kronor. Den köpta kreditupplysningsinformationen visas direkt på MrKolls webbplats i blocket ”Ekonomi” genom att uppgifterna fylls i under rubrikerna ”Inkomst aktuellt år” och de nu tillkommande rubrikerna ”Skulder och betalningsanmärkningar” och ”Konkurs”. Under rubriken ”Inkomst aktuellt år” finns i detta läge raden ”Antal betalningsanmärkningar” inte med.

Under rubriken ”Skulder och betalningsanmärkningar” finns åtta rader avseende traditionell kreditupplysningsinformation. Under rubriken ”Konkurs” finns en rad som anger om den efterfrågade är i personlig konkurs eller inte.

Informationen som publiceras när användaren köper en kreditupplysning för 49 kronor finns inte i Bolagets databas för Webbplatsen. Det är Yellow-Belly som fyller i fälten på Webbplatsen när användaren beställer en kreditupplysning för 49 kronor. För användare som är inne på webbplatsen utan att ha beställt någon kreditupplysning från Yellow-Belly är dessa fält maskerade. Yellow-Belly skickar en kreditupplysningskopia till den eftersökte och ansvarar för att användaren har ett legitimt behov.

Bolagets syn på definition av kreditupplysningsverksamhet och utgivningsbevisets omfattning

Bolaget anser att informationen att den eftersökte personen person inte har några betalningsanmärkningar, (X har inga betalningsanmärkningar), i blocket ”Sammanfattning” inte utgör kreditupplysningsinformation eftersom det är klusterbaserad information som baseras på att inte någon person i den eftersöktes kluster har någon betalningsanmärkning.

Bolaget anser att informationen i blocket ”Ekonomi”, att den eftersökte personen har ”Antal betalningsanmärkningar 0 st”, inte utgör kreditupplysningsinformation eftersom det är klusterbaserad information som baseras på att inte någon person i den eftersöktes kluster har någon betalningsanmärkning.

Bolaget anser att informationen om uppskattat värde av eventuell fastighet i blocket ”Boende och grannar”, inte utgör kreditupplysningsinformation då den bygger på mäklarstatistik.

Bolaget anser att informationen under rubriken ”Löneindikator” inte utgör kreditupplysningsinformation. Denna information säger inte något om den eftersökta personen i sig då det inte finns någon information på individnivå.

Webbplatsen omfattas i sin helhet av utgivningsbeviset. Det är endast Bolaget som kan ändra innehållet på Webbplatsen.

Vad gäller blocket ”Ekonomi” är dock situationen speciell. Blocket ”Ekonomi” omfattas i sin helhet av utgivningsbeviset så länge raderna under rubrikerna ”Inkomst aktuellt år”, ”Skulder och betalningsanmärkningar” och ”Konkurs” inte är ifyllda. Dessa rader är, med ett undantag, maskerade så länge den enskilde användaren inte köper en kreditupplysning för 49 kronor. Undantaget är den av Bolaget självt ifyllda uppgiften ”Antal

betalningsanmärkningar 0 st” under rubriken ”Inkomst aktuellt år”. Denna uppgift är således en del av Webbplatsen och omfattas av utgivningsbeviset.

Om en användare köper en kreditupplysning för 49 kronor ändras situationen. Den köpta kreditupplysningsinformationen fylls då i av Yellow– Belly och visas direkt i blocket ”Ekonomi” under rubrikerna ”Inkomst aktuellt år”, ”Skulder och betalningsanmärkningar” och ”Konkurs”. Raden ”Antal betalningsanmärkningar 0 st” finns i detta läge inte med. Bolaget anser därför att informationen under rubrikerna ”Inkomst aktuellt år”, ”Skulder och betalningsanmärkningar” och ”Konkurs” i blocket ”Ekonomi” i detta läge ska betraktas som en utlyft och därmed avskild del av Webbplatsen. Denna utlyfta del omfattas inte av Bolagets utgivningsbevis utan utgör då en omodererad del av Webbplatsen som Yellow-Belly ansvarar för.

Vad gäller blocket ”Åtal, domar och rättsprocesser” så är detta en del av webbplatsen som omfattas av Bolagets utgivningsbevis oavsett om användaren inhämtar en dom för 99 kronor eller inte. Bolaget anser att det är skillnad på blocket som avser ”Åtal, domar och rättsprocesser” och blocket ”Ekonomi” eftersom informationen som framgår i blocket ”Åtal, domar och rättsprocesser” inte är maskerad, utan i stället ofullständig fram till dess att en användare av Webbplatsen betalar 99 kronor för att ta del av den.

Bolaget avslutade sitt samarbete med Yellow-Belly, den 8 april 2019 då avtalsförhållandet sades upp med omedelbar verkan. Återförsäljningen av kreditupplysningar upphörde därmed omedelbart. Bolaget sålde i egenskap av Yellow-Bellys återförsäljare ca 700 stycken kreditupplysningar under mars månad. I slutet av maj släppte Bolaget en ny version av webbplatsen. I den nya utgåvan har informationen om betalningsanmärkningar uteslutits. Nu lämnas i stället endast en mycket grov information som redogör för den ekonomiska situationen för området i stort (omfattning i form av postnummer utanför städerna, och stadsdelsområdet i städerna).

Motivering av beslutet

Datainspektionens ställningstagande i detta beslut avser Nusvars verksamhet på webbplatsen MrKoll under tidsperioden från och med december 2018 till och med den 8 april 2019. Bolaget hämtade under perioden in ekonomisk information från Yellow-Belly och publicerade uppgifter om att enskilda personer saknar betalningsanmärkningar. Webbplatsen har under denna

tidsperiod vid flera tillfällen ändrats layoutmässigt. Personuppgiftsbehandlingen har dock varit densamma i aktuella delar.

Nusvars verksamhet på webbplatsen Mrkoll omfattas av ett s.k. frivilligt utgivningsbevis enligt 1 kap. 5 § yttrandefrihetsgrundlagen. Det innebär att yttrandefrihetsgrundlagens föreskrifter om sändningar av program tillämpas när information tillhandahålls allmänheten via Mrkoll.

Av delegationsbestämmelsen i 1 kap. 18 § yttrandefrihetsgrundlagen följer att det som anges i delegationsbestämmelsen i 1 kap. 12 § 5 tryckfrihetsförordningen (1949:105) om att det i lag får meddelas föreskrifter om yrkesmässig kreditupplysningsverksamhet också gäller i fråga om program.

Av detta följer att det går att meddela föreskrifter i lag om kreditupplysningsverksamhet som bedrivs via webbplatser som omfattas av utgivningsbevis. En sådan lagstiftning har genomförts genom kreditupplysningslagen (1973:1173).

Kreditupplysningsverksamhet

Datainspektionen är tillsynsmyndighet enligt kreditupplysningslagen (1973:1173) och Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (dataskyddsförordningen), GDPR.

Enligt 1 § kreditupplysningslagen gäller lagen kreditupplysningsverksamhet som innebär att någon, utom i enstaka fall, lämnar kreditupplysningar mot ersättning eller som ett led i näringsverksamhet. Lagen gäller också annan kreditupplysningsverksamhet, om den är av större omfattning.

Av 2 § första stycket första meningen kreditupplysningslagen framgår att med kreditupplysning avses uppgifter, omdömen eller råd som lämnas till ledning för bedömning av någon annans kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende.

I förarbetena till kreditupplysningslag (prop. 1973:155 s. 139) behandlas frågan när viss information ska anses som kreditupplysning:

”Karakteristiskt för kreditupplysning är vidare att informationen lämnas för visst ändamål. Det skall vara fråga om information som är avsedd att tjäna till ledning för bedömning av någons kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende. Information som typiskt sett har ett helt annat ändamål omfattas inte av begreppet kreditupplysning, även om uppgifter av ekonomisk art ingår i informationen. Hit hör t.ex. uppgifter i personaltester som utförs för att pröva en persons lämplighet för viss anställning. Informationen i en kreditupplysning är givetvis framför allt inriktad på ekonomiska förhållanden. Ofta ingår dock uppgifter om mer personliga omständigheter. Någon skarp gräns mellan de båda informationstyperna kan inte dras och är inte heller erforderlig. Informationens art saknar i och för sig betydelse för bestämningen av begreppet kreditupplysning. Det avgörande är om den är ägnad att tjäna till ledning vid bedömningen av kreditvärdighet o.d.”

Bedömningen av om Bolagets spridning av uppgifter utgör kreditupplysnings-

verksamhet

Av utredningen framgår att det uttalade syftet med webbplatsen är att tillgängliggöra offentlig information om privatpersoner av allmänintresse. Den information som lämnas gratis på webbplatsen har inget uttalat kreditupplysningsändamål. Informationen lämnas dock ut i direkt anslutning till en renodlad kreditupplysningstjänst som drivs av Yellow- Belly. Många användare av webbplatsen kan därför antas uppsöka webbplatsen i syfte att införskaffa information till ledning för bedömning av den eftersöktes kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende. För det fall den information som Bolaget på eget personuppgiftsansvar publicerar på webbplatsen är tillräcklig för att ligga till grund för en kreditbedömning av den eftersökte, utan att användaren behöver beställa en kreditupplysning av Yellow-Belly för 49 kronor, bedriver Bolaget kreditupplysningsverksamhet i kreditupplysningslagens mening.

Uppgift om i vad mån en enskild person har en betalningsanmärkning eller inte är ett exempel på en uppgift som typiskt sett kan användas för att göra en kreditbedömning av den eftersökte. En uppgift om att den eftersökte saknar betalningsanmärkningar kan exempelvis vara tillräcklig information om den enskildes ekonomi för att denne ska tillåtas beställa en vara mot faktura i en nätbutik eller godkännas som medlem i en bostadsrättsförening. En användare som besöker webbplatsen i syfte att göra en kreditbedömning av den eftersökte och som inte behöver mer information om den eftersöktes ekonomi än så kan avstå från att beställa en fullständig kreditupplysning från Yellow-Belly.

Bolaget publicerar information om att den eftersökte saknar betalningsanmärkningar genom att i blocket ”Sammanfattning” ange att ”X har inga betalningsanmärkningar” och i blocket ”Ekonomi” ange ”Antal betalningsanmärkningar 0 st”.

Den omständigheten att denna information inte kan lämnas om alla enskilda personer som saknar betalningsanmärkningar – utan bara om enskilda personer som saknar betalningsanmärkningar, som ingår i ett kluster om 22- 28 personer som även de saknar betalningsanmärkningar – saknar i det här fallet betydelse. Den som tar del av informationen på webbplatsen får ett entydigt konstaterande av att betalningsanmärkningar saknas för den som eftersöks i de fall sådan uppgift finns. Den utgör därmed ett konstaterande som rör enskilds ekonomiska förhållanden, ägnat att tjäna till ledning för bedömningen av dennes kreditvärdighet. Datainspektionen konstaterar att Bolaget därigenom under perioden december 2018 – april 2019 har bedrivit kreditupplysningsverksamhet genom den publicering Bolaget självt ansvarar för på webbplatsen.

Datainspektionen konstaterar att utlämnandet av kreditupplysningsinformation inte har skett i enstaka fall, utan sker som ett led i näringsverksamhet och är av större omfattning. En sådan verksamhet omfattas av kreditupplysningslagens regelverk.

Av 4 § första stycket kreditupplysningslagen framgår att kreditupplysningsverksamhet får bedrivas endast efter tillstånd av Datainspektionen. Enligt 4 § fjärde stycket den lagen behövs dock inte tillstånd för kreditupplysningsverksamhet, i den mån den bedrivs genom offentliggörande av kreditupplysning på ett sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Webbplatsen omfattas av ett sådant utgivningsbevis som regleras i 1 kap. 5-7 §§ yttrandefrihetsgrundlagen. Datainspektionen konstaterar att Bolaget därmed har rätt att bedriva kreditupplysningsverksamhet utan tillstånd. Datainspektionen konstaterar samtidigt att Bolaget har att följa övriga tillämpliga bestämmelser i kreditupplysningslagen och tillämpliga bestämmelser i dataskyddsförordningen.

Om den eftersökte ingår i ett kluster där en eller flera av de övriga enskilda personerna har en betalningsanmärkning får användaren gå vidare genom att beställa en kreditupplysning av Yellow-Belly för 49 kronor.

Datainspektionen finner inte anledning att ifrågasätta Bolagets påstående att Bolaget endast är återförsäljare av Yellow-Bellys kreditupplysningar när en användare köper en fullständig kreditupplysning via webbplatsen för 49 kronor.

Utan att närmare ta ställning i sakfrågan i aktuellt ärende, eftersom frågan saknar betydelse för frågan om Bolaget bedriver kreditupplysningsverksamhet eller inte, finner Datainspektionen inte heller anledning att ifrågasätta Bolagets påstående att informationen under rubrikerna ”Inkomst aktuellt år”, ”Skulder och betalningsanmärkningar” och ”Konkurs” i blocket ”Ekonomi” ska betraktas som en utlyft och därmed avskild del av Webbplatsen som inte omfattas av Bolagets utgivningsbevis, i det läge när användaren betalar 49 kronor och tar del av en sådan fullständig kreditupplysning som Yellow-Belly ansvarar för.

Uppgifter om lagöverträdelser

Artikel 10 i dataskyddsförordningen innehåller begränsningar för behandling av uppgifter om lagöverträdelser. Sådana uppgifter får endast behandlas av myndigheter eller om behandlingen är tillåten enligt unionsrätt eller nationell rätt. Kreditupplysningslagen innehåller, i den del den avser behandling av personuppgifter, bestämmelser som kompletterar dataskyddsförordningen. Av 6 § kreditupplysningslagen andra stycket följer att uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden inte får behandlas i kreditupplysningsverksamhet utan medgivande av Datainspektionen.

I blocken ”Sammanfattning” och ”Åtal, domar och rättsprocesser” anges om den eftersökte har varit åtalad vid domstol i ett eller flera ärenden som avser brottmål. Om användaren vill ta del av domarna från de ärenden där den eftersökte varit åtalad kan användaren gå vidare genom att betala 99 kr. Domslutet och en sammanfattning av de aktuella domarna visas då direkt på Webbplatsen i blocket ”Åtal, domar och rättsprocesser”.

Datainspektionen anser att redan uppgiften ”X har varit åtalad vid en domstol i ett rättsfall som avsett brottmål” utgör en uppgift om lagöverträdelse i 6 § andra stycket kreditupplysningslagens mening. Till detta kommer att användaren kan välja att inhämta och ta del av själva domslutet direkt på Webbplatsen i det aktuella blocket.

Datainspektionen konstaterar att Bolaget i strid med artikel 10 i dataskyddsförordningen och 6 § andra stycket kreditupplysningslagen behandlar uppgifter om lagöverträdelser för kreditupplysningsändamål utan Datainspektionens medgivande.

Kravet på uppgiftsminimering

I 5 § första stycket kreditupplysningslagen anges att kreditupplysningsverksamhet ska bedrivas så att den inte leder till otillbörligt intrång i personlig integritet genom innehållet i de upplysningar som förmedlas eller på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. För sådan behandling av personuppgifter som omfattas av dataskyddsförordningen gäller i stället artikel 5 i den förordningen.

Enligt artikel 5.1 c dataskyddsförordningen ska personuppgifter som behandlas vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering).

Av dessa regler följer att det i kreditupplysningsverksamhet inte ska behandlas andra uppgifter än sådana som är adekvata och relevanta för bedömningen av någons kreditvärdighet. Det ska inte heller behandlas fler uppgifter än nödvändigt för att bedöma den eftersöktes kreditvärdighet. Vid bedömningen av vilka uppgifter som får behandlas är utgångspunkten att så få uppgifter som möjligt ska behandlas. Vid urvalet ska prioriteras sådana uppgifter som ensamma eller tillsammans med ett fåtal andra uppgifter kan ge den nödvändiga kunskap som behövs för att bedöma den eftersöktes kreditvärdighet.

Då webbplatsen innefattar kreditupplysningsverksamhet ska de uppgifter som finns publicerade på webbplatsen bedömas vad gäller adekvans, relevans och omfattning utifrån ett kreditupplysningsändamål.

Flera av de kategorier uppgifter som publiceras på webbplatsen är adekvata och relevanta för kreditupplysningsändamål, exempelvis adressuppgifter och civilstånd.

Datainspektionen anser dock att personuppgifter om fordonsinnehav, uppskattat värde av bostadsrätt eller fastighet, telefonnummer, stjärntecken, popularitet eller grannars namn och ålder inte är nödvändiga, adekvata och relevanta för bedömning av någons kreditvärdighet.

Vad gäller uppgift om fordonsinnehav har sådana uppgifter i praxis inte ansetts innebära en sådan kvalitetsförbättring i kreditupplysningsverksamhet att de bör tillåtas (Länsrättens i Stockholms län dom 15 juni 2001, Målnr Ö 4128-99). Vad gäller uppskattat värde av bostadsrätt eller fastighet så saknar dessa uppgifter adekvans och relevans för kreditupplysningsändamål eftersom uppgiften endast avser Bolagets egna uppskattningar av värde som dessutom inte kombineras med uppgift om ägarförhållande och bakomliggande belåning. Uppgift om telefonnummer, stjärntecken och popularitet är irrelevanta för ett kreditupplysningsändamål.

Datainspektionen konstaterar därför att Bolaget överträtt artikel 5.1 c dataskyddsförordningen genom att behandla personuppgifter som inte är adekvata, relevanta och alltför omfattande i förhållande till ett kreditupplysningsändamål.

Krav på legitimt behov och kreditupplysningskopia

Den som begär en personupplysning, d.v.s. en kreditupplysning om en privatperson, ska enligt 9 § första stycket kreditupplysningslagen ha ett s.k. legitimt behov av den. Det innebär att denne ska ha ingått ett kreditavtal eller vara på väg att ingå ett kreditavtal med den omfrågade eller att denne i övrigt har anledning att göra en ekonomisk riskbedömning beträffande den omfrågade.

Varje gång ett kreditupplysningsföretag lämnar ut en kreditupplysning om en fysisk person ska denne enligt 11 § kreditupplysningslagen samtidigt och kostnadsfritt få ett skriftligt meddelande om de uppgifter, omdömen och råd som upplysningen innehåller, en s.k. kreditupplysningskopia.

Datainspektionen konstaterar att Bolaget inte har uppfyllt sina skyldigheter enligt bestämmelserna i 9 och 11 §§ kreditupplysningslagen i kreditupplysningsverksamheten.

Val av korrigerande åtgärder

Datainspektionen har konstaterat att Bolaget har bedrivit kreditupplysningsverksamhet via webbplatsen MrKoll genom att behandla uppgifter om betalningsanmärkningar och därigenom,  i kreditupplysningsverksamheten behandlat personuppgifter om lagöverträdelser i strid med artikel 10 i dataskyddsförordningen och 6 §

andra stycket kreditupplysningslagen genom att utan Datainspektionens medgivande dels ange att den eftersökte varit åtalad i brottmål, dels publicera domar mot betalning,  behandlat personuppgifter i strid med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen genom att behandla flera kategorier av uppgifter som inte är adekvata och relevanta och alltför omfattande för kreditupplysningsändamål och  handlat i strid med bestämmelserna i 9 och 11 §§ kreditupplysningslagen genom att inte beakta kraven på legitimt behov och kreditupplysningskopia.

Möjliga ingripandeåtgärder

Om den som har rätt att bedriva kreditupplysningsverksamhet åsidosätter en bestämmelse i kreditupplysningslagen får Datainspektionen enligt 17 § kreditupplysningslagen förelägga denne att vidta rättelse eller meddela ett nytt villkor. Om den som bedriver kreditupplysningsverksamhet inte fullgör vad som åligger honom enligt 11 § får Datainspektionen enligt 22 § förelägga vite.

I 15 § kreditupplysningslagen anges att vid tillsyn över sådan behandling av personuppgifter som omfattas av dataskyddsförordningen gäller Datainspektionens befogenheter enligt 17 § kreditupplysningslagen utöver de befogenheter som Datainspektionen har enligt artikel 58.1–58.3. dataskyddsförordningen.

I artikel 58 i dataskyddsförordningen anges samtliga befogenheter som Datainspektionen har enligt dataskyddsförordningen. Enligt artikel 58.2 (a– h, j) har Datainspektionen ett antal korrigerande befogenheter att tillgå, bl. a. varningar, reprimander eller begränsningar av behandling.

Enligt artikel 58.2 (i) i dataskyddsförordningen framgår att tillsynsmyndigheten ska påföra administrativa sanktionsavgifter i enlighet med artikel 83. Enligt artikel 83.2 ska administrativa sanktionsavgifter, beroende på omständigheterna i det enskilda fallet, påföras utöver eller i stället för de åtgärder som avses i artikel 58.2 a–h och j. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek.

I stället för sanktionsavgifter får i vissa fall enligt skäl 148 till dataskyddsförordningen en reprimand utfärdas i stället för sanktionsavgifter om det är frågan om en mindre överträdelse. Hänsyn ska tas till omständigheter såsom överträdelsens karaktär, svårighetsgrad och varaktighet.

Sanktionsavgifter ska påföras

Datainspektionen har ovan konstaterat att Nusvar bedriver kreditupplysningsverksamhet och bedömt att Bolaget i de aktuella behandlingarna av personuppgifter har överträtt artikel 5 och artikel 10 dataskyddsförordningen. Dessa artiklar omfattas av artikel 83.5, som innebär att ett högre sanktionsbelopp ska påföras.

De personuppgiftsbehandlingar som denna tillsyn omfattar har inneburit behandling av personuppgifter om folkbokförda personer i Sverige som är 16 år eller äldre, drygt åtta miljoner. Uppgift om betalningsanmärkning framgår i alla de fall där enskilda utifrån klusterinformation om 22–28 närboende konstaterats inte ha någon betalningsanmärkning. Uppgift om lagöverträdelse har behandlats i de fall den registrerade varit föremål för åtal i brottmål. Det är därmed inte frågan om en mindre överträdelse. Det finns således inte skäl att ersätta sanktionsavgiften med en reprimand.

Någon annan korrigerande åtgärd är inte heller aktuell för den behandling som skett. Bolaget ska därför påföras administrativa sanktionsavgifter.

Omständigheter av betydelse för att fastställa sanktionsavgiftens storlek

Generella bestämmelser

Enligt artikel 83.1 i dataskyddsförordningen ska varje tillsynsmyndighet säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande.

Den administrativa sanktionsavgiften får enligt artikel 83.3 inte överstiga beloppet för den grövsta överträdelsen om det är frågan om en eller samma uppgiftsbehandlingar eller sammankopplade uppgiftsbehandlingar.

Överträdelser av artikel 5 och 10 omfattas av artikel 83.5. Sanktionsbeloppet får därför inte överstiga 20 miljoner EUR eller 4 % av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.

Bolaget startade verksamheten under 2018 och hade enbart en redovisad omsättning för årets sista månad. Bolagets omsättning 2018 uppgick enligt Bolagets årsredovisning till 399 092 kronor.

I artikel 83. 2 i dataskyddsförordningen anges samtliga faktorer som ska beaktas vid bestämmande av sanktionsavgiftens storlek. Vid bedömningen av storleken på sanktionsavgift ska bl. a. hänsyn tas till a) överträdelsens karaktär, svårighetsgrad och varaktighet, b) uppsåt eller oaktsamhet, g) kategorier av personuppgifter, h) hur överträdelsen kom till Datainspektionens kännedom och k) annan försvårande eller förmildrande faktor, till exempel direkt eller indirekt ekonomisk vinst.

Omständigheterna i det aktuella fallet

Vid Datainspektionens bedömning av sanktionsavgift har hänsyn tagits till att uppgifter har samlats in om samtliga svenska medborgare över 16 år, drygt åtta miljoner medborgare, som har legat öppet på nätet fritt tillgängliga för allmänhet och intressenter. Publicering av uppgifter på webbplatsen utgör Bolagets kärnverksamhet och behandlingarna har skett i vinstsyfte. Dessa omständigheter är försvårande.

Därutöver beaktas det förhållandet att uppgift om betalningsanmärkningar får tillhandahållas i kreditupplysningsverksamhet, men inte uppgift om lagöverträdelser. Det förhållandet att dessa uppgifter tillhandahålls gemensamt riskerar leda till negativa effekter och till ett omfattande intrång i enskildas personliga integritet.

Hänsyn har också tagits till att behandlingen har kommit till Datainspektionens kännedom via en mängd klagomål från allmänheten.

Datainspektionen konstaterar samtidigt att kreditupplysningsuppgifter har publicerats under ca fem månader, och därefter har upphört.

Under den tidsperiod uppgifterna varit publicerade har den potentiella spridningseffekten varit omfattande. Webbplatsen kommer exempelvis högt upp bland sökträffarna på andra större sökmotorer och spridningen, samt möjligheten att få tillgång till uppgifterna har därmed varit stor.

När det gäller frågan om överträdelserna har skett med uppsåt eller genom oaktsamhet finns det inget i utredningen som visar annat är att

behandlingen, som bland att bestått i öppen publicering av uppgiften om betalningsanmärkning och uppgifter om lagöverträdelser, skett avsiktligt.

Bestämmande av sanktionsbeloppets storlek

Sanktionsbeloppet kan, som redan sagts, högst fastställas till 20 miljoner EUR. Sanktionsbeloppet ska vara effektivt, proportionellt och avskräckande.

Datainspektionen konstaterar att Bolaget är nystartat och att Bolagets senaste årsredovisning bara omfattar en (december 2018) av de fem månader som kreditupplysningstjänsten vid www.mrkoll.se funnits tillgänglig. Det är därför inte möjligt att lägga denna till grund för bestämmandet av sanktionsavgiftens storlek.

Bolaget har inte närmare preciserat sin omsättning för 2019. En utgångspunkt tas därför i att bolagets månatliga omsättning i vart fall motsvarar den för december 2018 omräknat för helåret 2018, 4,8 mkr.

Datainspektionen bestämmer utifrån en samlad bedömning att bolaget ska betala en administrativ sanktionsavgift om 35 000 EUR.

Datainspektionen anser inte att det finns anledning att vidta någon ytterligare åtgärd med anledning av att Bolaget inte efterlevt bestämmelserna i 5 § första stycket första meningen och 9 och 11 §§ kreditupplysningslagen om legitimt behov och kreditupplysningskopia eftersom Bolagets kreditupplysningsverksamhet numera upphört.

Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av avdelningsdirektören Hans Kärnlöf. Vid den slutliga handläggningen har chefsjuristen Hans-Olof Lindblom och enhetschefen Catharina Fernquist medverkat.

Lena Lindgren Schelin, 2019-12-13 (Det här är en elektronisk signatur)

Bilagor Bilaga 1 – Hur man betalar sanktionsavgift

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning. Även Justitiekanslern får, såvitt det avser tillämpning av kreditupplysningslagen, överklaga beslutet för att tillvarata allmänna intressen. Tiden för överklagande för Justitiekanslern räknas dock från den dag beslutet meddelades.

Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

Kopia till: Justitiekanslern