527/2007

Denna lag tillämpas på insamling, produktion, registrering, utlämnande, användning och annan behandling av kreditupplysningar.

På behandling av uppgifter om fysiska personer tillämpas personuppgiftslagen (523/1999), om inte annat föreskrivs i denna lag.

Syftet med denna lag är att säkerställa tillgången till tillförlitliga kreditupplysningar, trygga den personliga integriteten vid behandling av kreditupplysningar, trygga fysiska personers och företags rätt att bli bedömda utifrån korrekta och relevanta uppgifter samt att främja god kreditupplysningssed.

I denna lag avses med

Vad som i denna lag föreskrivs om informationsinnehållet i kreditupplysningsregister skall tillämpas också på sådan information om fysiska personer eller företag som en näringsidkare har fått i uppdragsförhållanden och registrerat i sitt kundregister samt använder vid fattande av kreditbeslut för utomståendes räkning.

Denna lags 10 och 38 § tillämpas inte på näringsverksamhet där kreditvärdighetsklassificering görs och uppgifter om kreditvärdighetsklass lämnas ut antingen om börsbolag eller med samtycke eller på uppdrag av det företag som informationen gäller.

Den som bedriver kreditupplysningsverksamhet, den som använder kreditupplysningar och den som annars behandlar kreditupplysningar skall handla omsorgsfullt samt se till att

Som kreditupplysningar får användas och på annat sätt behandlas endast information som har tillförlitliga källor och som är behövliga och relevanta för att beskriva den registrerades betalningsförmåga eller betalningsvilja eller förmåga att uppfylla sina åtaganden. Sådana känsliga personuppgifter som avses i 11 § i personuppgiftslagen får användas eller behandlas på annat sätt endast om det i lag eller i ett med stöd av lag fattat beslut föreskrivs om rätten att använda uppgifterna.

Personuppgifter som skall användas som kreditupplysningar skall inhämtas hos den registrerade själv, ur kreditupplysningsregister eller ur myndighetsregister där informationen är registrerad för allmänt bruk, om det inte i lag eller i ett med stöd av lag fattat beslut föreskrivs om rätten att använda informationen. Med den registrerades samtycke får uppgifter också inhämtas ur andra informationskällor, om en sådan behandling av uppgifterna för utlämning är tillåten enligt personuppgiftslagen och någon annan lag som gäller behandling av personuppgifter.

Vad som föreskrivs i 2 mom. hindrar inte en kreditgivare att använda sådana personuppgifter om en registrerads ekonomiska ställning och betalningsbeteende som kreditgivaren har fått i sitt kundförhållande till den registrerade och som är lagenligt registrerade i kreditgivarens kundregister.

I samband med behandling av kreditupplysningar skall vidtas sådana tekniska och organisatoriska åtgärder som är nödvändiga för att skydda informationen mot obehörig åtkomst och mot förstöring, ändring, utlämnande och överföring som sker av misstag eller i strid med lag samt mot annan olaglig behandling. Vid genomförandet av åtgärderna skall hänsyn tas till de tillgängliga tekniska möjligheterna, kostnaderna som orsakas av åtgärderna, informationens art, mängd och ålder samt vilken betydelse behandlingen av uppgifterna har med avseende på de registrerades personliga integritet och rättssäkerhet.

Vid behandlingen av personkreditupplysningar som har registrerats i ett kreditupplysningsregister skall det ses till att uppgifter om behandlingen av kreditupplysningarna lagras i datasystemet. Vad som föreskrivs i detta moment gäller inte behandling av information om företagskopplingar som avses i 12 § 2 punkten.

Ett företag som bedriver kreditupplysningsverksamhet skall ha tillräckliga ekonomiska och andra förutsättningar att sköta förpliktelser som avses i denna lag.

I 38 § föreskrivs om skyldigheten att göra anmälan om bedrivande av kreditupplysningsverksamhet.

Styrelseledamöterna och deras ersättare samt verkställande direktören och dennes ställföreträdare i ett företag som bedriver kreditupplysningsverksamhet skall vara tillförlitliga personer som inte är försatta i konkurs och vars handlingsbehörighet inte har begränsats och som inte enligt vad som antecknats i ett myndighetsregister eller kreditupplysningsregister har meddelats näringsförbud. En person som avses ovan anses inte vara tillförlitlig om han eller hon under de fem senaste åren genom en dom som vunnit laga kraft har dömts till fängelsestraff eller under de tre senaste åren till bötesstraff för ett brott som kan anses visa att personen är uppenbart olämplig som styrelseledamot eller ersättare, verkställande direktör eller dennes ställföreträdare i ett företag som bedriver kreditupplysningsverksamhet.

Ett företag som bedriver kreditupplysningsverksamhet skall ha tillgång till tillräcklig juridisk sakkunskap.

Den som bedriver kreditupplysningsverksamhet får inte vägra att ur ett kreditupplysningsregister som är avsett för allmänt bruk lämna ut kreditupplysningar till den som enligt lag skall använda kreditupplysningar för beslutsfattande som avser en registrerad.

Den som bedriver kreditupplysningsverksamhet skall på begäran i enskilda fall mot skälig ersättning lämna ut kreditupplysningar. Den som ber om personkreditupplysningar skall lägga fram den utredning som behövs för att konstatera att utlämnandet är förenligt med lag.

En registrerad har rätt att för sådana ändamål som nämns i 19 § mot skälig ersättning få ett utdrag med de personkreditupplysningar som har lagrats om den registrerade i ett kreditupplysningsregister.

Den som bedriver kreditupplysningsverksamhet skall se till att de registrerade bemöts jämlikt vid behandling av information som skall registreras eller har registrerats i ett kreditupplysningsregister och annars i samband med kreditupplysningsverksamhet.

I ett kreditupplysningsregister får om fysiska personer registreras

I ett kreditupplysningsregister får såsom personkreditupplysningar registreras

I registret skall dessutom på den registrerades begäran och utifrån en tillförlitlig utredning av denne registreras en uppgift om att orsaken till en betalningsstörning är borgensansvar eller tredjemanspant och likaså en av den registrerade till den registeransvarige överlämnad, i boförvaltarens gäldenärsutredning ingående information om de huvudsakliga orsakerna till konkurs. I registret kan föras in också annan information som den registrerade har lämnat om faktorer som lett till anteckningar om betalningsstörning och om den ursprungliga tidpunkten för en betalningsstörning.

Den som ansvarar för ett kreditupplysningsregister skall, om det utifrån allmänt tillgängliga eller till den registeransvarige överlämnade uppgifter är möjligt, i registret anteckna vilka registreringar som orsakas av en och samma betalningsförsummelse. En sådan anteckning skall dock alltid göras på begäran av den registrerade utifrån en av denne överlämnad tillförlitlig utredning.

Av en borgenär anmälda uppgifter om betalningsstörning får anmälas till den registeransvarige och föras in i ett kreditupplysningsregister, om betalningen har försenats minst 60 dagar från den ursprungliga förfallodagen, ifall gäldenären och borgenären inte har ingått ett nytt betalningsavtal efter den ursprungliga förfallodagen. En förutsättning för anmälan och registrering av uppgifter om en betalningsstörning är dessutom att

Borgenären skall underrätta den som ansvarar för ett kreditupplysningsregister om betalningen av en fordran som borgenären har anmält som försummelse till den som ansvarar för kreditupplysningsregistret.

I ett kreditupplysningsregister får i fråga om minderåriga som uppgifter om betalningsstörningar registreras endast utsökningsuppgifter enligt 13 § 1 mom. 4 punkten som har utlämnats ur utsökningsregistret för kreditupplysningsverksamhet.

När man fastställer en fysisk persons kreditvärdighetsklass eller andra uppgifter för bedömning av kreditvärdighet som registreras i ett kreditupplysningsregister eller tillhandahålls med hjälp av det får endast uppgifter som avses i 12 § 2―4 punkten och i 13 § användas.

Vid fastställande av uppgifter för bedömning av kreditvärdigheten hos en fysisk person som bedriver näringsverksamhet skall 27 § iakttas.

Identifieringsuppgifter och uppgifter om handlingsbehörighet om en registrerad skall avföras ur registret som följer:

Utan hinder av 1 mom. 2 punkten får en uppgift om företagskoppling bevaras så länge som det i registret över företagskreditupplysningar finns en anteckning om betalningsstörning som registrerats under ansvarspersonens verksamhetstid eller omedelbart därefter eller som annars klart beror på avgöranden och åtgärder som skett medan ansvarspersonen varit verksam i företaget.

I ett kreditupplysningsregister registrerade anteckningar om betalningsstörningar skall avföras ur registret som följer:

Om den registeransvarige har fått besked om att den fordran betalts som en anteckning om betalningsstörning enligt 1 mom. 6 punkten avser, skall uppgiften avföras inom två år från det att anteckningen gjorts.

En anteckning som avses i 1 mom. 1 och 6 punkten behöver inte avföras ur registret, om en ny anteckning om betalningsstörning som gäller den registrerade har gjorts i registret innan tidsfristen för avförande av den föregående anteckningen enligt 1 eller 2 mom. har gått ut. Alla anteckningar om en konkurs skall dock avföras inom tre månader från det att uppgifterna om den senaste konkursanteckningen har avförts ur företagssanerings- och konkursregistret, och en anteckning om en betalningsstörning som avses i 1 mom. 6 punkten senast fyra år efter det att den gjorts.

Uppgifter om bedömning av kreditvärdighet skall avföras när de övriga anteckningarna om personen i fråga har avförts ur registret.

Personkreditupplysningar får lämnas ut och användas endast för beviljande av kredit och kreditbevakning.

Utan hinder av vad som föreskrivs i 1 mom. får personkreditupplysningar lämnas ut och användas

Vad som föreskrivs ovan hindrar inte att uppgifter om företagskopplingar lämnas ut. I 26 och 27 § föreskrivs om behandling av personkreditupplysningar om ett företags ansvarspersoner i syfte att bedöma företagets kreditvärdighet.

Personkreditupplysningar får lämnas ut genom teknisk anslutning för sådana ändamål som nämns i 19 §, under förutsättning att

Personkreditupplysningar får lämnas ut i elektronisk form för sådana ändamål som avses i 19 § 2 mom. 10 punkten.

Uppgifter om en persons företagskopplingar får utan hinder av 1 mom. lämnas ut genom teknisk anslutning.

Om en registrerad inte har samtyckt till något annat, får i ett kreditupplysningsregister såsom basuppgifter om ett företag registreras

Den som ansvarar för ett kreditupplysningsregister kan om ett företags ansvarspersoner göra registeranteckningar som avviker från anteckningar i ett offentligt myndighetsregister, om anteckningarna i myndighetsregistret på grund av registreringstidpunkten eller av någon annan sådan orsak inte ger en korrekt bild av företaget och dess verksamhet eller av dem som bär ansvaret för företagets betalningsstörningar eller som har eller har haft den faktiska bestämmanderätten i företaget. Den registeransvarige skall innan anteckningen görs eller uppgiften används för bedömning av företagets kreditvärdighet ge företaget tillfälle att be myndigheten komplettera eller korrigera registeruppgifterna, om detta inte är uppenbart onödigt.

Av en anteckning som den registeransvarige gjort i enlighet med 1 mom. skall framgå att den gjorts med stöd av denna lag.

Vad som i denna lag föreskrivs om uppgifter om företags ansvarspersoner tillämpas också på sådana anteckningar av den registeransvarige som avses i 1 mom.

I ett kreditupplysningsregister får registreras uppgifter om personer som har meddelats näringsförbud enligt lagen om näringsförbud (1059/1985) och likaså uppgifter om förbudets varaktighet. Uppgifterna får lämnas ut genom teknisk anslutning eller på något annat elektroniskt sätt. Uppgifterna får dock inte publiceras i ett allmänt datanät.

Som uppgifter om ett företags betalningsstörningar får i ett kreditupplysningsregister registreras

En förutsättning för registrering av uppgifter som avses i 1 mom. 5 punkten är att borgenären senast tio dagar innan uppgiften offentliggjorts eller meddelats har sänt gäldenären en betalningsuppmaning varav framgår att försummelsen anmäls för registrering.

I registret skall dessutom på begäran av den registrerade och på basis av dennes tillförlitliga utredning antecknas uppgift om att betalningsstörningen har uppkommit till följd av borgensansvar eller tredjemanspant samt en av den registrerade till den registeransvarige överlämnad, i boförvaltarens gäldenärsutredning ingående uppgift om de huvudsakliga orsakerna till en konkurs. I registret kan dessutom föras in också andra uppgifter som den registrerade har lämnat om faktorer som lett till en anteckning om betalningsstörning samt om betalningsstörningens ursprungliga tidpunkt.

Den som ansvarar för ett kreditupplysningsregister skall, om det med beaktande av allmänt tillgängliga eller till den registeransvarige överlämnade uppgifter är möjligt, anteckna i registret vilka registreringar som orsakats av en och samma betalningsförsummelse. På begäran av den registrerade skall en sådan anteckning dock alltid göras på basis av dennes tillförlitliga utredning.

Som information om ett företags betalningsvana får registreras uppgifter om hur företaget i regel sköter sina betalningar. Anteckningar om oregelbundna betalningar får baseras endast på dröjsmål som innebär att betalningen av en ostridig fordran har försenats med mer än sju dagar.

Den som ansvarar för ett kreditupplysningsregister får i registret över företagskreditupplysningar göra en sammanställning av de personkreditupplysningar som gäller ett företags ansvarspersoner. Uppgifter om ansvarspersonernas betalningsstörningar får lämnas ut genom teknisk anslutning eller på något annat elektroniskt sätt, om förutsättningarna enligt 19 § uppfylls.

När man fastställer ett företags kreditvärdighetsklass eller andra uppgifter för bedömning av kreditvärdigheten som registreras i ett kreditupplysningsregister eller tillhandahålls med hjälp av det får, utöver basuppgifter om företaget och uppgifter som avses i 21―25 §, endast av företaget själv till den registeransvarige överlämnade uppgifter användas.

Personkreditupplysningar om ett företags ansvarspersoner får användas för fastställande av företagets kreditvärdighetsklass eller för annan bedömning av företagets kreditvärdighet

Vad som föreskrivs i 1 mom. gäller inte den som bedriver kreditupplysningsverksamhet eller ett företag som bedriver annan verksamhet som huvudsakligen innebär bedömning av företags kreditvärdighet, när det är fråga om upprättande av ett sådant kreditomdöme eller en sådan bedömning av kreditvärdighet som gäller ett börsbolag eller något annat företag, på beställning av sistnämnda företag eller dess finansiär.

Den som bedriver kreditupplysningsverksamhet skall bereda ett företag tillfälle att ge in sitt bokslut och annan för bedömningen av företagets kreditvärdighet behövlig information innan bedömningen sker, om informationen inte kan fås ur något myndighetsregister.

Ur register över företagskreditupplysningar skall information avföras som följer:

En anteckning som avses i 1 mom. 1 och 7 punkten behöver inte avföras ur registret, om en ny anteckning om betalningsstörning som gäller företaget har gjorts i registret innan den föregående anteckningen om betalningsstörning borde ha avförts ur registret enligt ifrågavarande bestämmelse. Alla anteckningar om en konkurs skall dock avföras inom tre månader från det att uppgifterna om den senaste konkursanteckningen har avförts ur konkurs- och företagssaneringsregistret, och en anteckning om en betalningsstörning som konstaterats av en myndighet skall avföras senast fyra år efter det att den gjorts.

En fysisk person om vilken en första anteckning görs i ett kreditupplysningsregister skall informeras om detta och om registrerades rätt att yrka rättelse samt om vilken betydelse betalningen av en fordran har för anteckningarna i kreditupplysningsregistret. Sådan information behöver dock inte ges när det är fråga om registrering av uppgifter om företagskopplingar.

Den som förvärvar personkreditupplysningar om en registrerad för att använda dem vid beviljande av kredit eller i sådant syfte som anges i 19 § 2 mom. 4―6 punkten, skall informera den registrerade om användningen av personkreditupplysningarna samt om det register som uppgifterna hämtas eller har hämtats ur. Information behöver inte ges när det är fråga om att förvärva uppgifter om företagskopplingar eller om ett företags ansvarspersoner i syfte att bedöma ett företags förmåga att sköta sina åtaganden.

Utöver vad som föreskrivs i personuppgiftslagen har ett företag, dess representant eller ansvarsperson rätt att få veta vilka uppgifter om företaget och dess ansvarspersoner som registrerats i ett kreditupplysningsregister samt källan för den registrerade informationen. Ett företag, dess representant eller ansvarsperson har dock inte rätt att få information om de företag som har lämnat de uppgifter som den registeransvarige använder för framtagning av upplysningar om betalningsvana.

En fysisk person har också rätt att få veta varifrån de i registret registerade uppgifterna härstammar och till vem personkreditupplysning om honom eller henne har lämnats ut under det senaste året. Rätten till insyn gäller dock inte utlämnande av uppgifter om företagskopplingar. I personuppgiftslagen föreskrivs om när ersättning uppbärs för utövande av en fysisk persons insynsrätt.

Den registeransvarige skall utan obefogat dröjsmål rätta felaktig, bristfällig, föråldrad eller annars vilseledande information i ett kreditupplysningsregister eller kreditomdöme. Den registeransvarige skall på begäran av den registrerade underrätta den som fått felaktig personkreditupplysning om rättelsen. Den som den registrerade uppgett har fått en felaktig företagskreditupplysning skall på den registrerades begäran underrättas om rättelsen.

En registrerad har rätt att i ett ärende som gäller insynsrätt eller rättelse använda sitt modersmål, antingen finska eller svenska, samt att få handlingarna på detta språk.

En registeransvarig som vägrar ge den registrerade insynsrätt eller vägrar ändra en registeruppgift skall ge ett skriftligt beslut om saken. Av beslutet skall framgå vilka lagrum och fakta vägran baseras på. Till beslutet skall fogas information om den registrerades rätt att få saken behandlad av dataombudsmannen.

Dataombudsmannen utövar den allmänna tillsynen över efterlevnaden av denna lag.

Dataombudsmannen har utan hinder av sekretessbestämmelserna rätt att för tillsynen över efterlevnaden av denna lag få tillgång till och kopiera uppgifter om behandling av kreditupplysningar.

Dataombudsmannen har rätt att ur det bötesregister som avses i 46 § i lagen om verkställighet av böter (672/2002) få de uppgifter som behövs för att utreda den lagstadgade tillförlitligheten hos ett tillsynsobjekts styrelseledamöter och ersättare för dem samt verkställande direktör och dennes ställföreträdare. Särskilda bestämmelser gäller i fråga om rätten att få uppgifter ur straffregistret.

Dataombudsmannen har rätt att

Dataombudsmannen kan förena rätten att få information enligt 34 § och sitt beslut enligt 35 § med vite så som föreskrivs i viteslagen (1113/1990).

Vad som föreskrivs i 4―6 kap. hindrar inte att den som ansvarar för ett kreditupplysningsregister registrerar uppgifter om en borgenär i ett register som förs av den registeransvarige för eget bruk i syfte att fullgöra förpliktelser som anges i 13 § 3 mom., 24 § 3 mom. samt 30 och 31 § eller registrerar uppgifter för anteckningar som avses i 22 § eller för kreditomdömen eller företagsundersökningar.

Den som bedriver kreditupplysningsverksamhet skall tre månader innan kreditupplysningar lämnas ut eller annan verksamhet inleds göra en anmälan till dataombudsmannen. Av anmälan skall framgå

Den som behandlar kreditupplysningar som avses i denna lag får inte i strid med denna lag röja vad den i detta uppdrag fått veta om en registrerads angelägenheter eller om det skydd som gäller behandlingen av kreditupplysningar.

Vad som föreskrivs i 1 mom. hindrar inte att uppgifter lämnas till polis- och förundersökningsmyndigheter för utredning av brott och väckande av åtal eller när det föreskrivs i lag om skyldighet att lämna ut uppgifter.

Den som ansvarar för ett kreditupplysningsregister är skyldig att ersätta ekonomisk skada som orsakas en registrerad genom användning av företagskreditupplysningar som har registrerats eller tagits fram i strid med denna lag. Vad som föreskrivs ovan gäller också en sådan uppgift om ett företags ansvarsperson som den registeransvarige har registrerat med stöd av 22 §.

I personuppgiftslagen föreskrivs om ersättning av skador som orsakats genom felaktiga personkreditupplysningar och lagstridig behandling av personkreditupplysningar.

På ersättning av skador som avses i denna lag tillämpas i övrigt skadeståndslagen (412/1974).

Ett beslut som dataombudsmannen fattat med stöd av 35 § kan överklagas genom besvär så som föreskrivs i förvaltningsprocesslagen (586/1996).

Till straff för personregisterbrott döms i enlighet med 38 kap. 9 § i strafflagen (39/1889) och till straff för dataintrång i personregister i enlighet med 38 kap. 8 § i strafflagen. Till straff för personregisterförseelse döms i enlighet med 48 § 2 mom. i personuppgiftslagen. Till straff för brott mot tystnadsplikt som avses i denna lags 39 § döms i enlighet med 38 kap. 1 eller 2 § i strafflagen, om inte gärningen utgör brott enligt 40 kap. 5 § i strafflagen eller om inte strängare straff för den föreskrivs någon annanstans i lag.

Den som uppsåtligen eller av grov oaktsamhet i strid med denna lag

och sålunda äventyrar företags rätt att bli bedömda på basis av korrekta och relevanta uppgifter eller tillgången till kreditupplysningar skall, om inte strängare straff för gärningen föreskrivs någon annanstans i lag, för kreditupplysningsförseelse dömas till böter.

Denna lag träder i kraft den 1 november 2007.

Kreditupplysningsregister som har tagits i bruk före denna lags ikraftträdande skall bringas i överensstämmelse med denna lag inom ett år från ikraftträdandet.