Kontooplysningstjenesteudbyders videregivelse af betalingsoplysninger kræver udtrykkeligt samtykke

Forbrugerombudsmanden behandlede en sag, hvor en kontooplysningstjenesteudbyder havde videregivet en brugers betalingsoplysninger til en kreditgiver i forbindelse med en kreditværdighedsvurdering. Oplysningerne blev videregivet i ikke-aggregeret form og inkluderede både brugerens og dennes kærestes betalingsoplysninger.

Sagens omstændigheder

• Kontooplysningstjenesteudbyderen indsamler, behandler og sammenstiller brugeres kontooplysninger og stiller dem til rådighed for brugeren.
• Tjenesten giver brugeren mulighed for at dele betalingsoplysninger med tredjeparter, som f.eks. kreditgivere.
• Brugeren giver samtykke til adgang og deling af kontooplysninger samt accepterer brugervilkår og databeskyttelsespolitik i ét trin.

Forbrugerombudsmandens vurdering

• Samtykketeksten skal tydeligt angive omfanget af samtykket, herunder hvilke betalingskonti der tilgås, og om oplysningerne videregives til tredjepart, før brugeren præsenteres for oplysningerne.
• Samtykke til indsamling og deling af oplysninger skal gives særskilt og ikke i forbindelse med accept af brugervilkår og privatlivspolitik.
• Kontooplysningstjenesten var ikke direkte henvendt til brugeren, da brugerrejsen startede på kreditgivers platform, og tjenesten var nødvendig for kreditgiver.

Afgørelse

Forbrugerombudsmanden vurderede, at kontooplysningstjenesteudbyderen ikke havde indhentet gyldigt samtykke fra forbrugeren i overensstemmelse med Betalingsloven § 87, stk. 1 og 2. Samtykket var ikke tilstrækkeligt specifikt i forhold til de betalingskonti, der blev tilgået, og samtykket til indhentning og deling af oplysninger var ikke givet særskilt.

Det var også Forbrugerombudsmandens vurdering, at kontooplysningstjenesteudbyderen havde overtrådt Betalingsloven § 125, stk. 6, ved at videregive brugerens betalingsoplysninger i ikke-aggregeret form til en kreditgiver til brug for en kreditværdighedsvurdering. Dette skete uden tilstrækkelig hjemmel i lovgivningen eller brugerens anmodning om en tjeneste.