Lov om ændring af lov om finansiel virksomhed, lov om kapitalmarkeder, lov om investeringsforeninger m.v. og flere andre love (Udpegelse af afviklingsmyndigheder for nødlidende centrale modparter og regler for livsforsikringsvirksomheder, der udbyder syge- og ulykkesforsikringer m.v.) § 11

Forarbejder til Lov om ændring af lov om finansiel virksomhed, lov om kapitalmarkeder, lov om investeringsforeninger m.v. og flere andre love (Udpegelse af afviklingsmyndigheder for nødlidende centrale modparter og regler for livsforsikringsvirksomheder, der udbyder syge- og ulykkesforsikringer m.v.) § 11

Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesforordningen) sætter de overordnede rammer for behandling af personoplysninger. Behandling af personoplysninger er således underlagt en række principper, herunder lovlighed, rimelighed og gennemsigtighed, formålsbegrænsning, dataminimering, rigtighed m.v. Det følger af forordningen, at der som grundlag for behandlingen skal foreligge en retlig forpligtelse eller et samtykke fra den pågældende til behandlingen.

Ved en personoplysning forstås efter databeskyttelsesforordningen enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede); ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet.

Et personnummer er en personoplysning og behandlingen heraf skal derfor ske i overensstemmelse med principperne i databeskyttelsesforordningen og de relevante særregler.

Der findes ikke på nuværende tidspunkt en klar hjemmel i lov om forbrugslånsvirksomheder til, med henblik på nødvendig, entydig identifikation, at indhente og behandle personnummer, hvorfor forbrugslånsvirksomheder som udgangspunkt er afhængig af et samtykke.

Forbrugslånsvirksomheder kan i henhold til anden lovgivning indhente og behandle personnumre. Hvidvasklovens § 11, stk. 1, nr. 1, stiller krav om, virksomhederne skal indhente deres kunders personnummer og derved sikre identiteten af deres kunder med henblik på at forhindre hvidvask og terrorfinansiering.

Privates mulighed for at behandle personnumre følger af databeskyttelsesforordningen og den supplerende bestemmelse i § 11, stk. 2, i databeskyttelsesloven. Ved »behandling« forstås efter databeskyttelsesforordningen enhver aktivitet eller række af aktiviteter - med eller uden brug af automatisk behandling - som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse.

Det foreslås i § 8 a, at forbrugslånsvirksomheder kan behandle oplysninger om personnummer med henblik på nødvendig entydig identifikation i relation til eksisterende kundeforhold ved varetagelse af administrative opgaver og rådgivning.

Den foreslåede bestemmelse er ny og har til formål at etablere en klar og samlet hjemmel til, at forbrugslånsvirksomheder på samme måde som i hvidvaskloven m.v. kan indhente og behandle personnummer med henblik på en entydig identifikation. I dag er forbrugslånsvirksomheder afhængig af et samtykke til at behandle personnummer i det løbende kundeforhold.

Som nævnt i afsnit 2.14.1. må en viderebehandling – for at være i overensstemmelse med artikel 5, stk. 1, litra b, i databeskyttelsesforordningen – ikke ske på en måde, som er uforenelig med de (”udtrykkeligt angivne og legitime”) formål, til hvilke personnummeret oprindeligt var indsamlet. Hvorvidt en viderebehandling af personnummeret med henblik på entydig identifikation i det øvrige kundeforhold vil være foreneligt med det formål, til hvilket personnummeret tidligere er indsamlet, f.eks. i medfør af hvidvaskreglerne, vil bero på en konkret vurdering.

I det omfang en viderebehandling er foreneligt med det formål, til hvilke personnummeret oprindeligt var indsamlet, vil den foreslåede bestemmelse bevirke, at de forbrugslånsvirksomheder, som allerede har indhentet personnummer for at sikre identiteten af kunden, kan anvende personnummeret til den videre administration af kundeforholdet og rådgivning.

For forbrugslånsvirksomhederne vil den foreslåede bestemmelse medføre, at virksomhederne bl.a. får adgang til at behandle personnumre på sine kunder samt øvrige personer, hvor en entydig identifikation er nødvendig. Det vil bl.a. være nødvendigt, når man behandler kunder, kautionister, garantistillere, begunstigede, modparter, deponenter, fuldmagtshavere, fuldmagtsgivere, brugere af selvbetjeningsløsninger, værger m.v. Opremsningen er ikke udtømmende.

Ved rådgivning forstås anbefalinger, vejledninger, herunder oplysninger om risici forbundet med en disposition, og oplysninger om umiddelbare konsekvenser af kundens valgmuligheder. Forbrugslånsvirksomheders administrative opgaver kan indeholde elementer af rådgivning som følge af, at den løbende administration kan føre til et behov om at få rådgivning om ændringer, supplerende produkter m.v.

Ved eksisterende kundeforhold forstås, at der skal være indgået et kundeforhold i form af en gensidig aftale mellem virksomheden og kunden. Den foreslåede bestemmelse kan således ikke anvendes som hjemmel for behandling af personnummer i forbindelse med tilbudsgivning. I sådanne tilfælde er virksomheden afhængig af et samtykke fra potentielle kunder, hvis virksomheden skal kunne behandle personnumre. Bestemmelsen er imidlertid ikke til hinder for at virksomheder vil kunne behandle personnummer til brug for accept af et bindende tilbud fra virksomheden.

Den foreslåede bestemmelse vil medføre, at forbrugslånsvirksomheder vil få adgang til at behandle personnumre på sine kunder, og øvrige personer relateret til det eksisterende kundeforhold, hvis det er nødvendigt at foretage en entydig identifikation ved udførelse af følgende opgaver, idet der ikke er tale om en udtømmende opremsning:

– Login ved selvbetjeningsløsninger og services, herunder evt. applikationer (apps), der kræver entydig identifikation for brug af løsningen.

– Regelmæssige opdateringer om oplysninger fra CPR med henblik på sikring af, at virksomheden har de korrekte data (datakvalitet) om den registrerede.

– Den påkrævede anvendelse af personnummer ved kommunikation via e-Boks som sikker digital post mellem virksomheden og dets kunder.

– Løbende kommunikation med kunden.

– Anvendelse af personnummer som sikring af identiteten i forbindelse med den løbende kommunikation mellem forbrugslånsvirksomheden og den registrerede – herunder som led i, at den registrerede ønsker at gøre brug af den registreredes rettigheder under databeskyttelsesforordningen.

– Anvendelse af personnummer med henblik på risikostyring.