Nytteverdi
I høringsnotatet fremgår det at departementet antar at det er et visst behov for å innta utdanningslån i gjeldsregistrene av hensyn til effektiv kredittvurdering og hensynet til forskning og analyse. Behovet for forbrukerne antas å være lite. Departementet har også lagt vekt på at data om dette lånet kan være et viktig bidrag for å avdekke finansielle sårbarheter og myndighetenes overvåking av finansiell stabilitet.
Lånekassen har forståelse for at kredittselskapene kan ha nytte av at utdanningsgjeld inntas i gjeldsregistrene. Dette vil kunne bidra til mer presis kredittscoremodell, og det vil kunne effektivisere selskapenes kredittvurderinger. Alternativet for kredittselskapene vil være å be kunden selv dokumentere/opplyse om utdanningsgjelden eller å yte kreditt uten å ta hensyn til denne gjelden.
Også fra kundens perspektiv kan forslaget bety en effektivisering. Dersom studiegjeld omfattes av gjeldsregistrene, kan det forenkle prosessen å søke om lån ved at alle nødvendige opplysninger er lett og sikkert tilgjengelig digitalt. Det er en fordel både for kunden så vel som for finansinstitusjonene at søknader om lån raskt kan vurderes med utgangspunkt i oppdatert og korrekt informasjon om kundens gjeldssituasjon, og dermed også avslås når søkerens gjeldssituasjon tilsier dette. Registrering av utdanningslån i gjeldsregistrene har ellers liten nytteverdi for våre kunder. Opplysninger om gjelden er enkelt tilgjengelig for kunden gjennom våre nettsider eller i nettbank dersom kunden har samtykket til dette.
Det kan hende at forslaget kan bidra til å effektivisere innhenting av data for forskning og statistikk, men vi ser ikke hvordan forslaget rent faktisk vil effektivisere innhentingen av data for dette formålet. Allerede i dag utleverer vi opplysninger til disse formålene, og høringsnotatet gjør det ikke tydelig for oss hvordan forslaget vil innebære en forenkling i dette henseendet.
Når det gjelder myndighetenes muligheter for å avdekke finansielle sårbarheter og overvåke finansiell stabilitet, stiller vi spørsmål ved om å inkludere utdanningslån i gjeldsregistrene er nødvendig for dette formålet. Lånekassen publiserer tall og statistikk om stipend og lån på våre nettsider, og vi utleverer også slike tall jevnlig til SSB.
Lånekassen har forståelse for at kredittselskapene kan ha nytte av at utdanningsgjeld inntas i gjeldsregistrene. Dette vil kunne bidra til mer presis kredittscoremodell, og det vil kunne effektivisere selskapenes kredittvurderinger. Alternativet for kredittselskapene vil være å be kunden selv dokumentere/opplyse om utdanningsgjelden eller å yte kreditt uten å ta hensyn til denne gjelden.
Også fra kundens perspektiv kan forslaget bety en effektivisering. Dersom studiegjeld omfattes av gjeldsregistrene, kan det forenkle prosessen å søke om lån ved at alle nødvendige opplysninger er lett og sikkert tilgjengelig digitalt. Det er en fordel både for kunden så vel som for finansinstitusjonene at søknader om lån raskt kan vurderes med utgangspunkt i oppdatert og korrekt informasjon om kundens gjeldssituasjon, og dermed også avslås når søkerens gjeldssituasjon tilsier dette. Registrering av utdanningslån i gjeldsregistrene har ellers liten nytteverdi for våre kunder. Opplysninger om gjelden er enkelt tilgjengelig for kunden gjennom våre nettsider eller i nettbank dersom kunden har samtykket til dette.
Det kan hende at forslaget kan bidra til å effektivisere innhenting av data for forskning og statistikk, men vi ser ikke hvordan forslaget rent faktisk vil effektivisere innhentingen av data for dette formålet. Allerede i dag utleverer vi opplysninger til disse formålene, og høringsnotatet gjør det ikke tydelig for oss hvordan forslaget vil innebære en forenkling i dette henseendet.
Når det gjelder myndighetenes muligheter for å avdekke finansielle sårbarheter og overvåke finansiell stabilitet, stiller vi spørsmål ved om å inkludere utdanningslån i gjeldsregistrene er nødvendig for dette formålet. Lånekassen publiserer tall og statistikk om stipend og lån på våre nettsider, og vi utleverer også slike tall jevnlig til SSB.
Personvernkonsekvenser
Behandling av personopplysninger ansees som et inngrep i retten til privatliv. Forholdsmessighetsvilkåret er en skranke for bruk av personopplysninger i GDPR, ved at godet ved å bruke opplysningene må oppveie inngrepet bruken har for de registrerte. Nytteverdien av å inkludere utdanningsgjeld i gjeldsregistrene må altså holdes opp mot personvernulempene dette inngrepet medfører. Personverninngrep som omfatter et stort omfang mennesker forutsetter større nytteverdi.
I høringsnotatet redegjør departementet for hvordan de mener at personvernhensyn ikke er til hinder for at opplysninger om utdanningslån tas inn i gjeldsregistrene. Personvernulempene ved å ta inn utdanningslån knytter seg først og fremst til økningen av persondata i gjeldsregistrene og at risikoen for at mislighold røpes. Departementet anser utdanningslån som lite personsensitivt i seg selv. De forutsetter imidlertid at det kan sikres at informasjonen som deles fra gjeldsregistrene ikke røper om lånet er overført til Statens Innkrevingssentral, og de foreslår at samtykkebasert innsyn forbys.
Lånekassen har noen innspill knyttet til personvernkonsekvensene av forslaget:
Opplysningenes art og omfang
Vi kan slå fast at opplysningene som forslaget omfatter, er ordinære personopplysninger. Det er ikke snakk om særlige kategorier personopplysninger. Lånekassen er enig med departementet i at opplysninger om utdanningslån er lite sensitivt. Svært mange har utdanningslån. Vi antar derfor at de fleste oppfatter opplysninger om hvorvidt man har et slikt lån, er trivielle. Vi utelukker ikke at det kan forholde seg annerledes når det gjelder opplysninger om størrelsen på lånet for enkelte av våre kunder. Høyt utdanningslån kan tyde på at man har tatt en kostbar utdanning, men kan også bety at man av ulike årsaker ikke har holdt vanlig progresjon i utdanningen.
Opplysninger om hvem som er kreditor for utdanningslånet vil inngå i registrene. Dersom Statens innkrevingssentral er kreditor, røper dette at lånet er misligholdt. Slike opplysninger kan mange oppfatte som sensitive. Denne opplysningen vil imidlertid ikke deles med andre aktører forutsatt at departementets forslag om forbud mot samtykkebasert innsyn blir vedtatt.
Vi nevner for ordens skyld at Lånekassen anser at opplysninger om en kundes utdanningsgjeld er opplysninger om “noens personlige forhold”, slik begrepet skal forstås etter forvaltningsloven § 13. Opplysningene er altså i utgangspunktet underlagt taushetsplikt.
Omfanget av opplysninger er stort og vil kobles med ytterligere opplysninger om kundens gjeld som allerede finnes i registeret.
Faren for formålsutgliding hos gjeldsregistrene og sikkerhet for personopplysningene
Tidligere har både Datatilsynet, Finansieringsselskapenes forening og Finanstilsynet, slik som departementet nå, uttrykt bekymring knyttet til praksisen som har etablert seg for såkalt samtykkebasert innsyn. Det dreier seg om at gjeldsinformasjonsforetakene tilgjengeliggjør gjeldsopplysninger for aktører som ikke er direkte opplistet i gjeldsinformasjonslovens § 12, som for eksempel låneformidlere (finansagenter).
Lånekassen deler denne bekymringen. Store datamengder samlet i ett register vil være interessant for en rekke andre aktører enn de som opprinnelig hadde tilgang i henhold til loven. Samtidig kan gjeldsinformasjonsforetak kreve vederlag for utlevering av gjeldsopplysninger. Det er altså tale om økonomisk motiverte foretak som naturlig har et ønske om å legge til rette for størst mulig volum av uthenting. Det er uheldig, men kanskje ikke overraskende at gjeldsinformasjonsforetak da har åpnet for at kommersielle aktører systematisk kan innhente gjeldsopplysninger basert på samtykke/fullmakt fra den som opplysningene gjelder. Dette er en virksomhet som går utenfor den opprinnelige tiltenkte rollen til gjeldsregistrene.
Denne praksisen illustrerer risiko for personvernet i flere henseender. Personopplysningene kan for det første bli behandlet for formål som går utover og er uforenlige med gjeldsinformasjonslovens formål. I tillegg mener vi det er en risiko for at aktørene ikke i tilstrekkelig grad forsikrer seg om at behandlingsgrunnlaget er gyldig, nærmere bestemt at samtykkene er informert, frivillig og mulig å trekke tilbake like lett som det ble gitt. Og endelig mener vi at praksisen gir økt risiko for at personopplysninger havner utenfor den registrertes kontroll og kommer på avveie.
Lånekassen støtter derfor forslaget om forbud mot samtykkebasert innsyn i gjeldsregisteret. Vi mener at dette er et egnet og nødvendig grep for å ivareta personvernet til de registrerte som skal inngå i gjeldsregistrene. Forbudet er også nødvendig for å hindre at opplysninger om lån som er misligholdt, ikke blir delt i strid med loven.
Har Lånekassen anledning til å utlevere opplysninger om gjeld til gjeldsregistrene?
Dersom Lånekassen utleverer gjeldsopplysninger til gjeldsregistrene utgjør dette en viderebehandling av personopplysninger som er uforenlig med de opprinnelige formålene. Slik behandling er i utgangspunktet forbudt, jf. personvernforordningen (PVF) artikkel 5 nr. 1 bokstav b. Uforenlig viderebehandling kan likevel være lov dersom behandling har et eget rettslig grunnlag, et såkalt viderebehandlingsgrunnlag. Det rettslige grunnlaget kan være hjemmel i nasjonal rett, jf. artikkel 6 nr. 4, men denne bestemmelsen oppstiller et materielt krav for nasjonal rett som åpner for viderebehandlingen ved at denne må “utgjør et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å sikre oppnåelse av målene nevnt i artikkel 23 nr. 1.” Det er altså ikke fritt frem hva som kan lovfestes om behandling av personopplysninger for uforenlige formål.
Vi legger til grunn at målene som forslaget skal fremme faller inn under artikkel 23 nr. 1 bokstav e (“andre viktige mål av generell allmenn interesse for Unionen eller en medlemsstat, særlig Unionens eller en medlemsstats viktige økonomiske eller finansielle interesser, herunder valuta-, budsjett- og skattesaker, folkehelse og trygdespørsmål”). I forarbeidene til gjeldsinformasjonsloven, prop. 87 L (2016–2017), begrunner departementet først og fremst inngrepene med formål om å beskytte helse, (siden flere undersøkelser dokumenterer at uhåndterlig gjeld, kan lede til psykiske vansker) og med hensynet til landets økonomiske velferd.
Det følger av EMDs praksis (når de diskuterer kravet om nødvendighet forholdsmessighet i tilknytning til EMK art. 8) at inngrepet ikke trenger å være uunnværlig, men at inngrepet må være noe mer enn bare rimelig og ønskelig. Tiltaket må være egnet til å ivareta det legitime formålet, og interessene som begrunner inngrepet må etter en samlet vurdering anses som mer tungtveiende enn de interessene som krenkes.
Hvorvidt et krav om å inkludere studiegjeld i gjeldsregistrene utgjør et nødvendig og forholdsmessig tiltak for å oppnå noen av målene nevnt i artikkel 23 nr. 1, vil vi ikke utelukke, men det er ikke åpenbart ut fra begrunnelsen til forslaget.
I høringsnotatet redegjør departementet for hvordan de mener at personvernhensyn ikke er til hinder for at opplysninger om utdanningslån tas inn i gjeldsregistrene. Personvernulempene ved å ta inn utdanningslån knytter seg først og fremst til økningen av persondata i gjeldsregistrene og at risikoen for at mislighold røpes. Departementet anser utdanningslån som lite personsensitivt i seg selv. De forutsetter imidlertid at det kan sikres at informasjonen som deles fra gjeldsregistrene ikke røper om lånet er overført til Statens Innkrevingssentral, og de foreslår at samtykkebasert innsyn forbys.
Lånekassen har noen innspill knyttet til personvernkonsekvensene av forslaget:
Opplysningenes art og omfang
Vi kan slå fast at opplysningene som forslaget omfatter, er ordinære personopplysninger. Det er ikke snakk om særlige kategorier personopplysninger. Lånekassen er enig med departementet i at opplysninger om utdanningslån er lite sensitivt. Svært mange har utdanningslån. Vi antar derfor at de fleste oppfatter opplysninger om hvorvidt man har et slikt lån, er trivielle. Vi utelukker ikke at det kan forholde seg annerledes når det gjelder opplysninger om størrelsen på lånet for enkelte av våre kunder. Høyt utdanningslån kan tyde på at man har tatt en kostbar utdanning, men kan også bety at man av ulike årsaker ikke har holdt vanlig progresjon i utdanningen.
Opplysninger om hvem som er kreditor for utdanningslånet vil inngå i registrene. Dersom Statens innkrevingssentral er kreditor, røper dette at lånet er misligholdt. Slike opplysninger kan mange oppfatte som sensitive. Denne opplysningen vil imidlertid ikke deles med andre aktører forutsatt at departementets forslag om forbud mot samtykkebasert innsyn blir vedtatt.
Vi nevner for ordens skyld at Lånekassen anser at opplysninger om en kundes utdanningsgjeld er opplysninger om “noens personlige forhold”, slik begrepet skal forstås etter forvaltningsloven § 13. Opplysningene er altså i utgangspunktet underlagt taushetsplikt.
Omfanget av opplysninger er stort og vil kobles med ytterligere opplysninger om kundens gjeld som allerede finnes i registeret.
Faren for formålsutgliding hos gjeldsregistrene og sikkerhet for personopplysningene
Tidligere har både Datatilsynet, Finansieringsselskapenes forening og Finanstilsynet, slik som departementet nå, uttrykt bekymring knyttet til praksisen som har etablert seg for såkalt samtykkebasert innsyn. Det dreier seg om at gjeldsinformasjonsforetakene tilgjengeliggjør gjeldsopplysninger for aktører som ikke er direkte opplistet i gjeldsinformasjonslovens § 12, som for eksempel låneformidlere (finansagenter).
Lånekassen deler denne bekymringen. Store datamengder samlet i ett register vil være interessant for en rekke andre aktører enn de som opprinnelig hadde tilgang i henhold til loven. Samtidig kan gjeldsinformasjonsforetak kreve vederlag for utlevering av gjeldsopplysninger. Det er altså tale om økonomisk motiverte foretak som naturlig har et ønske om å legge til rette for størst mulig volum av uthenting. Det er uheldig, men kanskje ikke overraskende at gjeldsinformasjonsforetak da har åpnet for at kommersielle aktører systematisk kan innhente gjeldsopplysninger basert på samtykke/fullmakt fra den som opplysningene gjelder. Dette er en virksomhet som går utenfor den opprinnelige tiltenkte rollen til gjeldsregistrene.
Denne praksisen illustrerer risiko for personvernet i flere henseender. Personopplysningene kan for det første bli behandlet for formål som går utover og er uforenlige med gjeldsinformasjonslovens formål. I tillegg mener vi det er en risiko for at aktørene ikke i tilstrekkelig grad forsikrer seg om at behandlingsgrunnlaget er gyldig, nærmere bestemt at samtykkene er informert, frivillig og mulig å trekke tilbake like lett som det ble gitt. Og endelig mener vi at praksisen gir økt risiko for at personopplysninger havner utenfor den registrertes kontroll og kommer på avveie.
Lånekassen støtter derfor forslaget om forbud mot samtykkebasert innsyn i gjeldsregisteret. Vi mener at dette er et egnet og nødvendig grep for å ivareta personvernet til de registrerte som skal inngå i gjeldsregistrene. Forbudet er også nødvendig for å hindre at opplysninger om lån som er misligholdt, ikke blir delt i strid med loven.
Har Lånekassen anledning til å utlevere opplysninger om gjeld til gjeldsregistrene?
Dersom Lånekassen utleverer gjeldsopplysninger til gjeldsregistrene utgjør dette en viderebehandling av personopplysninger som er uforenlig med de opprinnelige formålene. Slik behandling er i utgangspunktet forbudt, jf. personvernforordningen (PVF) artikkel 5 nr. 1 bokstav b. Uforenlig viderebehandling kan likevel være lov dersom behandling har et eget rettslig grunnlag, et såkalt viderebehandlingsgrunnlag. Det rettslige grunnlaget kan være hjemmel i nasjonal rett, jf. artikkel 6 nr. 4, men denne bestemmelsen oppstiller et materielt krav for nasjonal rett som åpner for viderebehandlingen ved at denne må “utgjør et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å sikre oppnåelse av målene nevnt i artikkel 23 nr. 1.” Det er altså ikke fritt frem hva som kan lovfestes om behandling av personopplysninger for uforenlige formål.
Vi legger til grunn at målene som forslaget skal fremme faller inn under artikkel 23 nr. 1 bokstav e (“andre viktige mål av generell allmenn interesse for Unionen eller en medlemsstat, særlig Unionens eller en medlemsstats viktige økonomiske eller finansielle interesser, herunder valuta-, budsjett- og skattesaker, folkehelse og trygdespørsmål”). I forarbeidene til gjeldsinformasjonsloven, prop. 87 L (2016–2017), begrunner departementet først og fremst inngrepene med formål om å beskytte helse, (siden flere undersøkelser dokumenterer at uhåndterlig gjeld, kan lede til psykiske vansker) og med hensynet til landets økonomiske velferd.
Det følger av EMDs praksis (når de diskuterer kravet om nødvendighet forholdsmessighet i tilknytning til EMK art. 8) at inngrepet ikke trenger å være uunnværlig, men at inngrepet må være noe mer enn bare rimelig og ønskelig. Tiltaket må være egnet til å ivareta det legitime formålet, og interessene som begrunner inngrepet må etter en samlet vurdering anses som mer tungtveiende enn de interessene som krenkes.
Hvorvidt et krav om å inkludere studiegjeld i gjeldsregistrene utgjør et nødvendig og forholdsmessig tiltak for å oppnå noen av målene nevnt i artikkel 23 nr. 1, vil vi ikke utelukke, men det er ikke åpenbart ut fra begrunnelsen til forslaget.
Økonomiske og administrative konsekvenser
Vi har ingen ytterligere kommentarer til punktet om økonomiske og administrative konsekvenser enn hva vi har opplyst om tidligere og som fremgår i høringsnotatets pkt. 16.4.
Oppsummering
Lånekassen er positive til tiltak som kan motvirke gjeldsproblemer blant våre kunder, og vi anser forbudet mot samtykkebasert innsyn i gjeldsregistrene som et egnet tiltak for å redusere personvernrisikoen forbundet med disse registrene..
Det er, med utgangspunkt i høringsnotatet, vanskelig å konkludere sikkert om nytteverdien ved å omfatte utdanningsgjeld i registrene, står i rimelig forhold til personvernulempene ved forslaget. Det er også vanskelig å konkludere om et krav om å inkludere studiegjeld i gjeldsregistrene utgjør et nødvendig og forholdsmessig tiltak for å oppnå noen av målene nevnt i PVF artikkel 23 nr. 1, slik artikkel 6 nr. 4 krever.
Det er, med utgangspunkt i høringsnotatet, vanskelig å konkludere sikkert om nytteverdien ved å omfatte utdanningsgjeld i registrene, står i rimelig forhold til personvernulempene ved forslaget. Det er også vanskelig å konkludere om et krav om å inkludere studiegjeld i gjeldsregistrene utgjør et nødvendig og forholdsmessig tiltak for å oppnå noen av målene nevnt i PVF artikkel 23 nr. 1, slik artikkel 6 nr. 4 krever.