Før en medarbeider bestiller en kredittvurdering, må virksomheten kunne vise hvorfor den trenger opplysningene og hvilket rettslig grunnlag den bygger på. Tilgang til en kredittportal er ingen generell adgang til å undersøke økonomien til kunder, ansatte eller andre. Den praktiske leveransen er en bestillingsrutine som knytter hvert oppslag til et konkret virksomhetsbehov og begrenser hvem som kan bestille og lese resultatet.
Datatilsynets veiledning for den som bestiller en kredittvurdering skiller mellom mottakerens ansvar etter GDPR og kredittopplysningsvirksomhetens regler for utlevering. For fysiske personer og enkeltpersonforetak må bestilleren ha grunnlag for å motta og bruke opplysningene etter personvernforordningen artikkel 6. Denne veiledningen gjelder bestillerens arbeidsprosess, og er ikke en vurdering av vilkårene for å drive kredittopplysningsvirksomhet.
Skill mottakerens grunnlag fra tilbyderens utleveringskrav
Kredittopplysningsloven regulerer kredittopplysningsvirksomhetenes behandling og stiller blant annet krav om saklig behov ved utlevering. Det gamle uttrykket «saklig behov» skal ikke alene brukes som en fullstendig hjemmel for bestillerens behandling av personopplysninger. Bestilleren må velge og dokumentere et relevant grunnlag etter GDPR.
For mange private virksomheter vil berettiget interesse være aktuelt. Da må interessen være reell og konkret, innhentingen nødvendig og avveiningen falle ut til fordel for behandlingen. Enkelte virksomheter kan ha en relevant rettslig forpliktelse til å foreta bestemte vurderinger; denne må identifiseres presist og ikke antas å gjelde alle som sender faktura.
Datatilsynets veiledning for kredittopplysningsvirksomheter forklarer også at enkeltpersonforetak likestilles med fysiske personer i denne sammenhengen. Ikke hopp over personvernvurderingen fordi oppslaget gjøres med organisasjonsnummer. For juridiske personer gjelder egne rammer for kredittopplysninger, og data om personer rundt selskapet må fortsatt vurderes ut fra innholdet.
Beskriv kredittsituasjonen før portalen åpnes
Start med hva virksomheten skal levere, når betaling skjer og hvilken økonomisk risiko som faktisk oppstår. Et konkret ønske om kjøp på faktura er forskjellig fra at noen bare besøker nettstedet eller ber om et generelt tilbud. En mulig fremtidig relasjon gir ikke automatisk behov for et oppslag nå.
Et tenkt utleiefirma vurderer å levere utstyr til en kunde med betaling etter levering. Saksansvarlig bør beskrive avtalen og eksponeringen, vurdere om kredittopplysninger er nødvendige og undersøke relevante mindre inngripende alternativer. En full forhåndsbetaling kan endre risikobildet vesentlig og dermed også nødvendighetsvurderingen.
Virksomhetens portal skal ikke brukes til private formål. En medarbeiders nysgjerrighet på en bekjents økonomi er ikke en virksomhetsinteresse selv om oppslaget teknisk kan gjennomføres. Gjør dette tydelig i opplæring og tilgangsvilkår, uten å basere kontrollen bare på at brukerne har signert en erklæring.
Bruk et utfylt bestillingsark
Følgende eksempel viser en intern beslutningsstruktur for det tenkte utleiefirmaet. Det er et arbeidsgrunnlag; tall, kundeopplysninger og konklusjoner må fastsettes ut fra den faktiske saken.
| Felt | Eksempel på dokumentasjon |
|---|---|
| Virksomhetsbehov | Vurdere kundens forespørsel om betaling etter at utstyret er levert |
| Saksreferanse | Den konkrete bestillingen i utleiesystemet |
| Hvem oppslaget gjelder | Avtaleparten, kontrollert mot riktig kundeidentitet |
| Vurdert alternativ | Forhåndsbetaling undersøkt; aktuell avtaleform og behov dokumenteres |
| Valgt grunnlag | Berettiget interesse, med separat nødvendighets- og avveiningsvurdering |
| Bestiller | Autorisert medarbeider i økonomifunksjonen |
| Bruk av resultat | Kun vurdering av det aktuelle betalingsopplegget |
| Oppfølging | Informasjon, beslutning, eventuell retting og begrunnet lagring |
En praktisk sperre kan være at oppslag må ha en gyldig saksreferanse. Den erstatter ikke vurderingen, men gjør det lettere å oppdage oppslag uten dokumentert tilknytning. Hvis systemet bruker automatiske integrasjoner, må samme sammenheng finnes i arbeidsflyten og ikke bare i en manuell portal.
Vurder omfanget av rapporten og alternativene
En kredittvurdering kan gi mer informasjon enn en enkel beslutning trenger. Undersøk hva produktet faktisk leverer: score, inntekt, gjeldsrelaterte opplysninger, betalingsanmerkninger eller andre felt. Vurder om en mindre omfattende leveranse er tilstrekkelig for formålet.
Dataminimering bør gjennomføres både ved bestilling og ved videre lagring. Det kan være forskjell på hva en autorisert beslutningstaker trenger å se i en avgrenset vurdering, og hva salgsavdelingen trenger i det ordinære kundebildet. Unngå at hele rapporten automatisk blir tilgjengelig for alle som kan åpne kunden.
Vurder alternativene reelt. Et krav om forhåndsbetaling kan ha andre konsekvenser for kunden og virksomheten, og er ikke alltid et likeverdig alternativ. Beskriv hvorfor den valgte behandlingen er nødvendig i den aktuelle situasjonen. En standardtekst som alltid sier «ingen alternativer», uten å ta hensyn til betalingsmåten, gir lite støtte for konklusjonen.
Gi egen informasjon i tillegg til gjenpartsbrevet
Kredittopplysningsvirksomheten skal sende et gjenpartsbrev etter de reglene som gjelder. Dette gjør ikke bestillerens egen informasjonsplikt overflødig. Bestilleren må forklare blant annet hvorfor vurderingen innhentes, grunnlaget og hvordan resultatet skal brukes. Knytt dette til informasjonsplikten ved indirekte innsamling.
Et illustrerende informasjonsutdrag kan lyde: «Når du ber om betaling etter levering, vurderer vi behovet for å innhente kredittopplysninger for den aktuelle avtalen. Opplysningene brukes til å vurdere betalingsopplegget, og bare medarbeidere med ansvar for denne vurderingen får tilgang. Du får nærmere informasjon om kilde, grunnlag, lagring og rettigheter før den beskrevne behandlingen.» Den ferdige teksten må samsvare med faktisk praksis og relevante frister.
Unngå en tvungen samtykkeboks som skal gjøre enhver kredittvurdering lovlig. Datatilsynet peker på utfordringer med frivillighet i slike situasjoner. Hvis virksomheten bygger på et annet grunnlag, skal den ikke samtidig fremstille behandlingen som noe kunden fritt kan samtykke til eller avvise uten konsekvenser. Informasjon og samtykke er forskjellige handlinger.
Begrens portaltilgang og kontroller bruk
Gi bare tilgang til personer som har et tjenstlig behov. Bruk personlige brukere der løsningen støtter det, og fjern tilgang ved rollebytte eller avslutning. En felles konto gjør det vanskeligere å finne hvem som utførte et oppslag og hvilket behov vedkommende hadde.
Lag en rutine for å undersøke oppslag uten saksreferanse, uvanlige mengder eller andre relevante avvik. Kontrollens omfang må selv være nødvendig og forklart for de ansatte. Arbeidsreglene for kontrolltiltak kan være relevante dersom oppfølgingsordningen innebærer slik kontroll.
Bestem hvem som håndterer mistanke om misbruk. Saksansvarlig bør kunne bevare nødvendig dokumentasjon, begrense videre tilgang og undersøke hendelsen uten å spre kredittopplysningene til en bred ledergruppe. Et ulovlig oppslag kan kreve flere vurderinger enn å stenge brukerkontoen, blant annet håndtering av den berørte personen og eventuelle personvernbrudd.
Skill rapporten fra beslutningen virksomheten tar
En score er et beslutningsgrunnlag, ikke en universell fasit om personen. Vurder hva scoren beskriver, hvilke data den bygger på og om den er relevant for avtalen. Ikke gi ansatte en instruks om at enhver lav score automatisk betyr uredelighet eller betalingsmislighold.
Hvis avgjørelsen tas utelukkende automatisk og har rettsvirkning eller tilsvarende betydelig påvirkning, må artikkel 22-vurderingen gjennomføres. Det er ikke nok å kalle prosessen manuell hvis saksbehandleren bare bekrefter systemets forslag uten reell vurdering og myndighet til å endre resultatet.
Dokumenter hvilket resultat virksomheten faktisk besluttet: det aktuelle betalingsopplegget, en annen avtaleform eller avslag. Oppgi begrunnelsen på en forståelig måte og sørg for en kontaktvei ved spørsmål. Bevar usikkerhet og nyanser; en kort intern kategorisering må ikke fremstille et uavklart forhold som sikker fakta.
Håndter feil og sperrer uten å omgå dem
Hvis kunden mener rapporten gjelder feil person eller inneholder uriktige opplysninger, må virksomheten undersøke hva den selv har registrert og brukt. Henvis til relevant kilde for retting hos kredittopplysningsvirksomheten, men ikke bruk henvisningen som grunn til å ignorere en konkret feil i eget kundesystem.
Rettingsrutinen etter artikkel 16 bør kobles til vurdering av begrensning mens riktigheten undersøkes. Kontroller også konsekvensene av tidligere bruk. Hvis en automatisk regel har stanset bestillingen på feil grunnlag, kan det kreve mer enn å oppdatere et felt.
En frivillig kredittsperre er ikke dokumentasjon på at personen har dårlig økonomi. Dersom tjenesten melder sperre, skal ansatte ikke prøve andre søkevarianter eller private tilganger for å omgå den. Forklar hvilke relevante alternativer virksomheten kan tilby, og la kunden håndtere en eventuell endring av sperren gjennom kredittopplysningsvirksomhetens ordning.
Vurder ansettelsessaker som et eget formål
En rutine for fakturakunder skal ikke gjenbrukes for søkere til en jobb. Datatilsynets veiledning om kredittvurdering før ansettelse beskriver en snever og konkret vurdering av stillingens ansvar og relevansen av opplysningene. En generell vurdering av alle søkere er ikke begrunnet av at økonomiavdelingen allerede har portaltilgang.
Avklar hvem som beslutter et eventuelt oppslag i en ansettelsessak, hvilket stadium i prosessen som er aktuelt og hvordan søkeren informeres. Opplysningene skal ikke inngå i en åpen søkermappe eller deles med intervjuere som ikke trenger dem. Formålet og risikoen må vurderes særskilt før innhenting.
Avtal lagring og kontroller en representativ bestilling
Bestilleren må ha en begrunnet lagringsregel for rapport, beslutning og kontrollspor. Ikke kopier kredittopplysningsvirksomhetens særlige lagringstider som om de automatisk gjelder egen kundebehandling. Behov for å dokumentere en avgjørelse kan være forskjellig fra behovet for å beholde alle detaljer i rapporten.
Følg én representativ bestilling fra behov til avslutning med oppdiktede data. Kontroller at saksreferanse finnes, at tilgang er avgrenset, at informasjon gis og at resultatet ikke kopieres til unødvendige steder. Undersøk også om integrasjonen gjør et nytt oppslag hver gang en ansatt åpner saken; gjentatte oppslag trenger en begrunnelse og skal ikke oppstå som en skjult standardhandling.
Sluttdokumentasjonen bør vise valgt grunnlag, bestillingsregel, tilgangsliste, informasjonsløp og utførte kontroller. Bruk ansvarlighetsdokumentasjonen til å følge opp avvik. Da kan virksomheten forklare hvorfor et konkret oppslag ble gjort og hvordan den begrenset bruken av opplysningene.
En praktisk avslutningskontroll kan vise forskjellen mellom «rapport mottatt» og «beslutning ferdig». Dersom kunden velger en annen betalingsmåte før rapporten brukes, bør saksansvarlig vurdere om det opprinnelige behovet fortsatt finnes og hva som skal skje med rapporten. Ikke la en avbrutt bestilling bli en permanent økonomiprofil. Registrer også hvem som kan godkjenne et nytt oppslag senere; et gammelt kundeforhold er ikke alene dokumentasjon på at enhver senere kontroll er nødvendig.