Yellow-Belly Decision Systems AB

Yellow-Belly Decision Systems AB Surbrunnsgatan 32 113 48 Stockholm

Tillsyn enligt kreditupplysningslagen (1973:1173) – Yellow-Belly Decision Systems AB

Datainspektionens beslut

Datainspektionen återkallar med stöd av 17 § kreditupplysningslagen (1973:1173) Yellow-Belly Decision Systems AB:s (org. nr 556912-4885) tillstånd att bedriva kreditupplysningsverksamhet.

Redogörelse för tillsynsärendet

Datainspektionen uppmärksammade i december 2018 att företaget Nusvar AB (Nusvar) lanserat webbplatsen www.Mrkoll.se (Mrkoll). På webbplatsen publicerades uppgifter om samtliga personer som är folkbokförda i Sverige. Webbplatsen Mrkoll omfattas av ett sådant utgivningsbevis som regleras i 1 kap. 5 § yttrandefrihetsgrundlagen. En grundlagsskyddad webbplats omfattas normalt sett inte av bestämmelserna i dataskyddsförordningen (GDPR). Datainspektionen noterade dock att det rörande vissa av de registrerade fanns uppgift bl.a. om att ”x saknar betalningsanmärkningar”. Datainspektionen bedömde mot bakgrund av detta att Mrkoll kan antas omfattas av bestämmelserna i kreditupplysningslagen. Datainspektionen inledde mot bakgrund därav tillsyn enligt kreditupplysningslagen mot Nusvar den 18 december 2018, DI-2018-22737. Det framkom i samband därmed att mycket av den information som Nusvar publicerade på Mrkoll hade inhämtats från Yellow-Belly Decision Systems AB (bolaget). Bolaget har inte ansökt om Datainspektionens medgivande om att få överlåta eller upplåta sitt kreditupplysningsregister till Nusvar. Datainspektionen inledde med anledning därav tillsyn mot bolaget den 9 januari 2019.

Datainspektionen har inhämtat yttrande från bolaget. Datainspektionen har även genomfört en inspektion hos bolaget. Bolaget har i yttrandet och i samband med inspektionen bland annat uppgett följande.

Bolaget ingår i koncernen Nodeus Group AB. Bolaget är personuppgiftsansvarigt för sin egen kreditupplysningsdatabas. Bolaget har inte några andra register.

I slutet av 2018 genomförde bolaget ett baslyft av grunddata från sin databas till Nusvars databas. Därefter har bolaget tillhandahållit Nusvar leveranser om eventuella ändringar (inkrementell leverans) av grunddata (namn, adress, bostadstyp och i förekommande fall bolag) var 14:e dag på Sveriges population över 18 år. Den informationen används för att skapa söktjänsten Mrkoll. I den leveransen ingår även aggregerad information om inkomst och betalningsanmärkningar. Den ekonomiska informationen är aggregerad i kluster om minst 30 personer. Ekonomiska uppgifter och uppgift om betalningsanmärkningar lämnas således inte ut på individnivå. Aggregeringar är förgjorda eller förpreparerade. När bolaget gjort klustren genererar bolaget en fil som en excel-lista och Nusvar importerar den till sin databas. Bolaget vet inte hur Nusvar läser in information som Nusvar hämtar från bolagets server. Bolaget har inte fått indikation på att Nusvar har något problem med att hämta in datan. Det sker inte i realtid. Filöverföringen mellan bolaget och Nusvar är krypterad.

Bolaget lämnar enligt specifikation ut följande information till Nusvar;

Persondata: Exempelvis uppgift om personnummer, folkbokföringsdatum, namn, folkbokföringsadress, personnummer för make, maka registrerad partner.

Hushållsdata: Exempelvis uppgift om olika adresstyper såsom enfamiljsadress, flerfamiljsadress om bostadsrättsförening eller annat, medlemmar i hushållet innehåller en lista av id-nummer.

Styrelseengagemang: Exempelvis uppgift om personnummer på styrelsemedlemmen och funktion i styrelsen.

Företagsnamn: Exempelvis uppgift om personnummer på styrelsemedlem, postnummer, postort, omsättning, företagets status idag.

Aggregeringar område: Är en av bolaget framtagen tabell som innehåller personnummer och vilket område som personen tillhör.

Områdesdata: Baseras på bolagets framtagna kluster och innehåller aggregeringar av data, bl.a. ekonomiska data inklusive förekomst av betalningsanmärkningar, för ett område. Klustren består av t.ex. maxinkomst, medelinkomst, minimuminkomst, medianinkomst för boende i området.

Med kluster avses matematisk statistik utifrån postkod och gatukod, kombinerat så att man ser till att innehållet i klustret blir tillräckligt stort med spridningsmått.

Bolaget anser inte att bolaget överlåtit eller upplåtit sitt kreditupplysningsregister till Nusvar. Bolaget levererar endast klusterinformation och adressinformation till Nusvar. Bolaget anser att bolaget inte överlåter kreditinformation utan de facto skapar ett annat register, som skickas till Nusvar. Det är således fråga om olika register. Bolaget har därför inte ansökt om något medgivande enligt 13 § första stycket kreditupplysningslagen.

Nusvar har i tillsynsärende DI-2018-22737 lämnat information som bekräftar vad bolaget har uppgett om parternas affärsrelation. Samarbetsavtalet mellan bolaget och Nusvar sades upp den 8 april 2019 med omedelbar verkan.

Skäl för beslutet

Tillämpliga bestämmelser

Av 13 § första stycket kreditupplysningslagen framgår att register som används i kreditupplysningsverksamhet får överlåtas eller upplåtas till annan endast efter medgivande av Datainspektionen.

Av 17 § kreditupplysningslagen framgår att för det fall den som har tillstånd att bedriva kreditupplysningsverksamhet åsidosätter en bestämmelse i kreditupplysningslagen får Datainspektionen förelägga honom att vidta rättelse eller meddela ett villkor. Om rättelse inte kan åstadkommas på något annat sätt får Datainspektionen återkalla tillståndet. Detsamma gäller, om förutsättningarna för tillståndet i övrigt inte längre föreligger.

Enligt 19 § första stycket 2 kreditupplysningslagen kan den som uppsåtligen eller av oaktsamhet bryter mot 13 § första stycket dömas till böter eller fängelse i högst ett år. Av 20 § framgår att ett kreditupplysningsregister kan förklaras förverkat om registret överlåtits eller upplåtits i strid med 13 § första stycket.

Datainspektionens bedömning

Datainspektionen konstaterar att bolaget genom baslyftet av grunddata från sitt kreditupplysningsregister till Nusvars databas överlåtit sitt kreditupplysningsregister till Nusvar. Bolaget har därefter upplåtit sitt kreditupplysningsregister till Nusvar genom leveranser av uppdateringar och information var 14:e dag från november 2018 till april 2019.

En viss del av utlämnandet har avsett information i klustrad form. Datainspektionen anser att detta saknar betydelse vad gäller frågan om bolagets kreditupplysningsregister har upplåtits eller inte. All information om fysiska och juridiska personer som ett kreditupplysningsföretag behandlar för kreditupplysningsändamål omfattas av bestämmelserna i 13 § kreditupplysningslagen oavsett hur informationen organiseras. Det är inte möjligt att kringgå bestämmelserna i 13 § genom att tillfälligtvis skilja av viss kreditupplysningsinformation från ett kreditupplysningsregister och placera informationen i ett separat register som sedan kallas för något annat än ”kreditupplysningsregister”. De aktuella uppgifterna hämtas från kreditupplysningsregistret även om bolaget bearbetar informationen enligt Nusvars önskemål innan den lämnas vidare till Nusvar. Det rör sig således inte om två olika register.

Bolaget har genom att överlåta och upplåta sitt kreditupplysningsregister till Nusvar utan att först införskaffa Datainspektionens medgivande handlat i strid med 13 § första stycket kreditupplysningslagen. Handlingen är att betrakta som allvarlig eftersom Datainspektionen sannolikt skulle ha avslagit en ansökan om medgivande om en sådan hade gjorts.

Datainspektionen har vid tidigare tillfällen avslagit kreditupplysningsföretags begäran om medgivande att överlåta eller upplåta kreditupplysningsregister åt företag som tillhandahåller kreditupplysningsinformation på webbplatser endast med stöd av utgivningsbevis. Ett företag vars verksamhet omfattas av grundlagsskydd behöver inte Datainspektionens tillstånd för att bedriva kreditupplysningsverksamhet. Denna omständighet innebär att Datainspektionen inte kan bedöma om företagets verksamhet kan antas bli bedriven på ett sakkunnigt och omdömesgillt sätt. Datainspektionen saknar dessutom möjlighet att besluta om villkor enligt kreditupplysningslagen för sådana företag. Datainspektionens avslagsbeslut har fastställts genom dom i kammarrätten i Stockholm, Mål nr 8023-08.

Återkallelse av tillstånd

Bolaget har handlat i strid med 13 § första stycket kreditupplysningslagen genom att överlåta och upplåta sitt kreditupplysningsregister till Nusvar utan Datainspektionens medgivande. Datainspektionen anser att det är en väsentlig försummelse som är oåterkallelig och som inte kan åtgärdas genom ett föreläggande om att vidta rättelse eller genom att ett nytt villkor meddelas. Datainspektionen finner därför anledning att återkalla tillståndet.

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag ni fick del av beslutet. Datainspektionen sänder överklagandet vidare till Förvaltningsrätten i Stockholm för prövning, om inspektionen inte själv ändrar beslutet på det sätt ni har begärt. Även Justitiekanslern får överklaga beslutet för att tillvarata allmänna intressen. Tiden för överklagande för Justitiekanslern räknas dock från den dag beslutet meddelades.

Förutsatt att överklagandet inte innehåller några integritetskänsliga personuppgifter eller uppgift som kan omfattas av sekretess, kan ni e-posta överklagandet till .

Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av avdelningsdirektören Hans Kärnlöf. Vid den slutliga handläggningen har chefsjuristen Hans-Olof Lindblom medverkat. Catharina Fernquist, 2020-01-31 (Det här är en elektronisk signatur)

Kopia till:

JK