4.1. Innledning

Best Claims AS har innhentet kredittopplysninger om A. Innhenting av kredittopplysninger om en person utgjør behandling av personopplysninger, jf. personvernforordningen artikkel 4 nr. 1 og 2. Behandlingen er bare lovlig dersom det foreligger et rettslig grunnlag etter artikkel 6 på behandlingstidspunktet. Spørsmålet er om Best Claims AS hadde rettslig grunnlag for å innhente kredittopplysninger om A 9. februar 2023.

4.2. Behandlingsansvarlig eller databehandler?

Best Claims AS har opplyst at Maritim Forsikring AS er forsikringsagent i Norge for Allianz, som har domisil i Tyskland. Maritim Forsikring AS behandlet skaden frem til 10. august 2022. Etter dette tidspunktet fikk Best Claims AS i oppdrag å overta den videre saksbehandlingen.

Det første spørsmålet som må avklares, er om Best Claims AS var behandlingsansvarlig eller databehandler da selskapet innhentet kredittvurderingen av A. Dette spørsmålet har betydning for vurderingen av behandlingsgrunnlag i artikkel 6, herunder hvilket selskaps berettigede interesser som ble forfulgt ved behandlingen.

I forordningen artikkel 4 nr. 7 defineres «behandlingsansvarlig» slik:

«[...] en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes, når formålet med og midlene for behandlingen er fastsatt i unionsretten eller i medlemsstatenes nasjonale rett, kan den behandlingsansvarlige, eller de særlige kriteriene for utpeking av vedkommende, fastsettes i unionsretten eller i medlemsstatenes nasjonale rett.»

I artikkel 4 nr. 8 defineres «databehandler» slik:

«[...] en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som behandler personopplysninger på vegne av den behandlingsansvarlige»

Det som først og fremst skiller en behandlingsansvarlig fra en databehandler, er at en behandlingsansvarlig «bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes», mens en databehandler behandler personopplysninger «på vegne av den behandlingsansvarlige». Etter EU-domstolens praksis er det ikke avgjørende at formålet med behandlingen og midlene som skal benyttes er fastsatt ved skriftlige retningslinjer, eller at noen er formelt utpekt som behandlingsansvarlig. Det avgjørende er om vedkommende etter en objektiv vurdering av faktum har utøvet innflytelse over behandlingen på en slik måte at de har fastslått formålet og midlene, jf. EU-domstolens dom 5. desember 2023 C-683/21 Nacionalinis visuomenės sveikatos centras avsnitt 30 med videre henvisninger.

I Datatilsynets vedtak 20. august 2024 ble det lagt til grunn at Best Claims AS måtte anses som databehandler for Maritim Forsikring AS. I brev til nemnda 18. mars 2026 opplyser imidlertid Best Claims AS at det var Best Claims AS «som bestemte formålet med kredittvurderingen og besluttet at det skulle foretas en kredittvurdering». Dette er ikke i seg selv er avgjørende, men selskapets opplysning underbygges av en objektiv vurdering av de faktiske forholdene i saken. Nemnda legger derfor til grunn at Best Claims AS har bestemt formålet med og midlene for behandlingen av As personopplysninger ved kredittvurderingen. Det vises til at Best Claims AS har redegjort for at det forelå uklarheter rundt eierforholdet til båten, samt usikkerhet knyttet til hvordan båtkjøpet var blitt finansiert. Når Best Claims AS etter dette selv valgte å gjennomføre en kredittvurdering, legger nemnda til grunn at Best Claims AS var den som bestemte formålet med og midlene for behandlingen av personopplysningene. Best Claims AS er dermed behandlingsansvarlig for innhentingen av As kredittopplysninger. Dette innebærer at vurderingen av om det foreligger et behandlingsgrunnlag, må ta utgangspunkt i det behov Best Claims AS hadde for opplysningene.

4.3. Behandlingsgrunnlaget må foreligge senest på behandlingstidspunktet

Formålet med behandlingen skal være avklart av den behandlingsansvarlige før eller senest på det tidspunktet opplysningene behandles, jf. artikkel 5 nr. 1 bokstav b «samles inn for spesifikke, uttrykkelig angitte og berettigede formål». Dette er lagt til grunn av EU-domstolen i flere avgjørelser, for eksempel i dom 20. oktober 2022 C-77/21 Digi Távközlési és Szolgáltató Kft. mot Nemzeti Adatvédelmi és Információszabadság Hatóság avsnitt 27:

«Regarding, first, the requirement that personal data are to be collected for specified, explicit and legitimate purposes, it follows from the case-law of the Court that that requirement implies, first of all, that the purposes of the processing are to be identified at the latest at the time of the collection of the personal data, next, that the purposes of that processing are to be clearly stated and, finally, that the purposes of that processing are to guarantee, inter alia, the lawfulness of the processing of those data, within the meaning of Article 6(1) (...)» [nemndas utheving].

Etter denne dommen er det klart at formålsbegrensningsprinsippet skal garantere behandlingens lovlighet etter artikkel 6 nr. 1. Nemnda legger dermed til grunn at også behandlingsgrunnlaget må være avklart før eller senest på tidspunktet for behandlingen.

Denne tolkningen underbygges av forordningen artikkel 5 nr. 2, som fastsetter at «[d]en behandlingsansvarlige er ansvarlig for og skal kunne påvise at nr. 1 overholdes [...]». Artikkel 5 nr. 2 vil dermed også kreve at den behandlingsansvarlige sikrer at personopplysningene «behandles på en lovlig, rettferdig og åpen måte», jf. forordningen artikkel 5 nr. 1 bokstav a. Dette innebærer blant annet at den behandlingsansvarlige må avklare om behandlingen har behandlingsgrunnlag etter artikkel 6 nr. 1 senest på tidspunktet for behandlingen. Dette følger også av forordningen artikkel 24 nr. 1 om den behandlingsansvarliges ansvar, og av artikkel 14 nr. 1 bokstav c, som fastsetter at formålet med behandlingen og det rettslige grunnlaget for den skal også kommuniseres til den registrerte. Dette er delvis årsaken til at kredittopplysningsvirksomheter er pålagt å sende ut en melding om innholdet i kredittopplysningene til den registrerte, jf. gjenpartsplikten i kredittopplysningsloven § 18 første ledd.

Kravet om at behandlingsgrunnlaget må avklares og dokumenteres senest på behandlingstidspunktet, innebærer at den behandlingsansvarlige må ta standpunkt til hva formålet med behandlingen er. Dette gjelder for all behandling av personopplysninger, også ved innhenting av økonomiske opplysninger og utformingen av kredittscore. Avklaringen av behandlingsgrunnlag er ikke noe den behandlingsansvarlige kan undersøke og finne ut av i ettertid.

I e-post 22. februar 2023 til A opplyser Best Claims AS at han ble kredittvurdert som følge av hvitvaskingsloven. Dette stemmer ikke med det selskapet senere oppgir til Datatilsynet, hvor Best Claims AS opplyser at også artikkel 6 nr. 1 bokstav f (berettiget interesse) gir behandlingsgrunnlag. I brev til nemnda 18. mars 2026 har selskapet gått bort fra at det er artikkel 6 nr. 1 bokstav c (rettslig forpliktelse) som utgjør det rettslige grunnlaget, men fastholder å ha rettslig grunnlag i artikkel 6 nr. 1 bokstav f (berettiget interesse). Nemnda er enig i at hvitvaskingsregelverket ikke forpliktet selskapet til å foreta en kredittvurdering, og at det derfor ikke er grunnlag for å hevde at artikkel 6 nr. 1 bokstav c (rettslig forpliktelse) gir behandlingsgrunnlag.

Nemnda legger etter dette til grunn at Best Claims AS ikke hadde avklart formålet med og behandlingsgrunnlaget for kredittvurderingen av A senest på tidspunktet for innhentingen 9. februar 2023. Best Claims AS har dermed ikke oppfylt sin plikt til å dokumentere behandlingens lovlighet, jf. artikkel 5 nr. 2 og artikkel 24, og har heller ikke oppfylt plikten til å gi den registrerte informasjon om formålet med behandlingen og behandlingsgrunnlaget, jf. artikkel 14 nr. 1 bokstav c. Informasjonen A fikk oppfyller for øvrig heller ikke artikkel 12 nr. 1. Informasjonen er ikke gitt på en åpen måte når den ikke stemmer med det som Best Claims AS senere opplyser er det reelle formålet med behandlingen.

Rettsvirkningen er av at behandlingsgrunnlaget ikke var avklart senest på behandlingstidspunktet, er at behandlingen var ulovlig.

De grunnleggende prinsippene for behandling i artikkel 5 er tett knyttet til behandlingsgrunnlaget. Etterfølgende endring av behandlingsgrunnlaget bryter med forordningens system. Videre skal den registrerte kunne stole på at informasjonen den behandlingsansvarlige gir, er korrekt. Artikkel 13 og 14 ville ikke gitt mening hvis den behandlingsansvarlige senere kunne endre behandlingsgrunnlaget med reparerende virkning. Nemnda viser her også til EU-domstolens dom 4. juli 2023 i sak C-252/21 Meta Platforms Inc and Others mot Bundeskartellamt avsnitt 90 og 95, EDPB, Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR Version 1.0 avsnitt 10 [EDPB-G-2024-1]^​1 og EDPB, Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR in the context of the provision of online services to data subjects, Version 2.0 avsnitt 17 [EDPB-G-2019-2]^​1.

Etter dette har nemnda kommet til at Best Claims AS har brutt forordningen artikkel 6 nr. 1, artikkel 5 nr. 2, artikkel 24 nr. 1, artikkel 14 nr. 1 bokstav c, samt artikkel 12 nr. 1.

As klage tas etter dette til følge.

Det er Datatilsynet som har kompetanse til å beslutte eventuelle korrigerende tiltak overfor den behandlingsansvarlige, jf. personvernforordningen artikkel 58 nr. 2. Saken returneres derfor til Datatilsynet for videre oppfølgning.

Vedtaket er enstemmig.