Datatilsynet
Postboks 8177 Dep
0034 OSLO
Att: Knut Brede Kaspersen
Dato: 20.02.2004
Vår ref.: 2004/00042
FJA/MK
Deres ref.:
Vi viser til høringsbrev av 18.12.03 til Finansnæringens Hovedorganisasjon (FNH). Kommentarene nedenfor baserer seg på mottatte og koordinerte synspunkter fra forsikringsselskaper som er medlemmer i FNH.
I konsesjonsbrevet er det fastsatt tre hovedvilkår i et kort konsesjonsbrev. Vedlagt konsesjonsbrevet følger mer omfattende merknader til konsesjonen som er ment å skulle utdype konsesjonsvilkårene og som må anses som Datatilsynets tolkninger av personopplysningsloven. Vi mener at det er noe uklart hvilken rettslige status merknadene til konsesjonen har, og mener at det er ryddigere dersom alle vilkårene tas inn i konsesjonen eller reguleres i en forskrift. Inntil videre legger vi til grunn at merknadene fra Datatilsynet er en del av konsesjonen og således gjenstand for en eventuell klage.
FNH er uenig i flere av vilkårene som fremkommer i Datatilsynets merknader til konsesjonsvilkår, men vil innledningsvis særlig fremheve tre vilkår. Synspunktene vil bli nærmere begrunnet nedenfor i våre kommentarer til de enkelte merknadene.
- Forsikringsnæringen er ikke enig i Datatilsynets tolking av relevanskravet som vi forstår slik at lege/behandlingsinstitusjon, trygdekontor eller annen offentlig etat, skal avgjøre hvilke helseopplysninger/personopplysninger som er relevante for forsikringsselskapet, jf pkt. 4) i merknadene. Det er et grunnleggende prinsipp at det forsikringsselskapet som påtar seg en risiko må avgjøre hvilke personopplysninger/helseopplysninger som er relevante.
- Forsikringsnæringen er ikke enig i de foreslåtte innskrenkningene i retten til innhenting og bruk av fødselsnummer, jf pkt. 6) i merknadene. Vi viser til at det er nødvendig med fødselsnummer i skadeforsikring for å kunne foreta en risikovurdering og fastsette en riktig pris.
- Forsikringsnæringen er ikke enig i at det skal innhentes samtykke fra hver enkelt kunde i forbindelse med konkurs, fusjon eller fisjon, jf pkt.7) d) i merknadene. Dersom krav om samtykke opprettholdes vil det føre til stor misnøye fra kunder som eventuelt mister en løpende forsikringsdekning som følge av manglende tilbakemelding til selskapet.
Kommentarer til Datatilsynets merknader
2) Behandlingsgrunnlag
Vi ønsker innledningsvis å presisere at vi legger til grunn at det ikke er krav om skriftlig samtykke dersom det finnes hjemmel i de andre behandlingsgrunnlagene som er nevnt i personopplysningsloven (POL) §§ 8 og 9.
Når det gjelder krav til at et samtykke skal være ”uttrykkelig”, finner vi Datatilsynets merknad uklar når det gjelder krav til kollektive forsikringer. Vanligvis innhentes det ikke samtykke ved behandling av personopplysninger i forbindelse med kollektiv forsikring. Generelle trekk ved kollektive forsikringer er at det ikke utstedes individuelle poliser og at administrasjonen derved blir enklere, og omkostningstilleggene til premiene vesentlig lavere enn ved individuell forsikring. Risikovurderingen foregår som oftest på en annen måte enn ved individuell forsikring. Gruppen gir en viss utjevning av risikoen slik at selskapene som hovedregel kan nøye seg med erklæring om arbeidsdyktighet.
Det finnes forskjellige typer kollektive forsikringer og de vanligste typene er kollektiv pensjonsforsikring, gruppelivsforsikring og forsikringsordninger knyttet til foreninger eller andre sammenslutninger.
For kollektive pensjonsforsikringer og gruppelivsforsikringer, innhentes som regel alle opplysningene fra arbeidsgiver. Dersom Datatilsynets merknader innebærer krav til at forsikringsselskapet skal innhente samtykke i flere tilfeller enn etter gjeldende konsesjon, vil dette kunne utfordre mulighetene for å kunne organisere forsikring i kollektive ordninger. Vi mener at personopplysningslovens krav til samtykke og informasjon til de enkelte medlemmer bør ivaretas av arbeidsgiver.
Når det gjelder kollektive pensjonsordninger vil de fleste slike ordninger være regulert av lov om foretakspensjon eller lov om innskuddspensjon. Slike ordninger kommer som regel i stand som et resultat av en fremforhandlet rettighet i avtaleforholdet mellom arbeidsgiver og arbeidstaker. Det er krav om obligatorisk tilslutning, som vil si at arbeidstakerne ikke kan velge om de vil være med i ordningen eller ikke, se lov om foretakspensjon § 3-3 og lov om innskuddspensjon § 4-2. Dersom en slik ordning skulle baseres på individuelt samtykke og en ansatt ikke vil gi et slikt samtykke, vil ikke bedriften kunne opprette pensjonsordningen. Vi legger til grunn at de fleste ansatte har interesse av at det opprettes en pensjonsordning, og at denne interessen vil gå foran en eventuell personvernulempe.
Det finnes også en type kollektive forsikringer som ikke har obligatorisk tilslutning. I slike ordninger vil søknader og erstatningsoppgjør bli behandlet individuelt.
Med bakgrunn i at vi mener merknaden er uklar og at vi ikke kan se at nye konsesjonsvilkår er påkrevet på dette punktet, foreslår vi at nåværende konsesjonstekst beholdes. Vi viser til pkt. 2.3.1 i gjeldende standardkonsesjon som har følgende ordlyd:
”Opplysningene i registeret kan bare innhentes fra kunden selv, fra andre som inngår avtale på vegne av kunden (arbeidsgiver, foreninger e.t.c), eller eventuelt fra andre spesifiserte personer/instanser i henhold til den registrertes skriftlige samtykke.”
Når det gjelder vilkår om at et samtykke skal være ”informert”, viser Datatilsynet til informasjonspliktsbestemmelsen i POL § 19, og at informasjon skal gis før innsamling. Vi tolker også merknaden sammenholdt med pkt. 2) i konsesjonen, slik at denne informasjonen skal gis skriftlig. Et stort antall skadeforsikringsavtaler inngås i dag per telefon. Informasjon etter POL § 19 kan derfor ikke gis skriftlig førinnsamling fordi innsamling og avtaleinngåelsen skjer per telefon. Skriftlig bekreftelse på avtale blir i slike tilfeller sendt i ettertid. Det er store fordeler for kundene ved å kunne inngå forsikringsavtaler på denne måten, og vi mener at fordelen klart oppveier en eventuell personvernulempe ved at informasjon gis muntlig. Vi er ikke enig i at et krav om skriftlighet kan begrunnes i lovteksten. Vi viser i den forbindelse til kommentarutgaven til personopplysningsloven som er skrevet av Knut-Brede Kaspersen, Åste Marie Bergseng og Michal Wiik Johansen, s 161 som lyder:
”Den behandlingsansvarlige kan i utgangspunktet gi informasjonen på den måten han anser som mest hensiktsmessig. Dersom innsamlingen skjer ved en telefonhenvendelse til den registrerte, er det i utgangspunktet ikke noe i veien for at informasjonen gis muntlig. Den registrerte kan imidlertid i medhold av § 24 alltid kreve at informasjonen blir gitt skriftlig. Det kan også være et poeng for den behandlingsansvarlige å gi informasjonen på en måte som gjør at han i ettertid kan dokumentere at han har gitt den informasjonen han etter loven plikter å gi.”
Vi oppfatter merknaden sammenholdt med konsesjonsvilkår i pkt.1), slik at det også kreves at et samtykke skal være skriftlig. Det er etter gjeldende rett ingen eksplisitte formkrav til samtykke, og vi kan heller ikke se at et slikt krav kan leses ut av personopplysningslovens § 8 jf. § 2 (7). Det innhentes skriftlig samtykke fra den registrerte ved behandling av sensitive opplysninger. Vi må igjen vise til det store antall skadeforsikringsavtaler som inngås per telefon. Et absolutt krav om at samtykke i alle sammenhenger skal være skriftlig, vil derfor hindre avtaleinngåelse pr telefon, noe som vi mener er i kundens interesse. Vi vil i den forbindelse også vise til kommentarutgaven til personopplysningsloven s 77 som lyder:
”Det er ikke noe formkrav til samtykket. I det ligger det at samtykket selvsagt kan være muntlig. Men i praksis bør det være skriftlig av dokumentasjonshensyn.”
Vi er ikke enig i at det settes et absolutt krav om skriftlighet ved innhenting av samtykke så lenge behandlingen dokumenteres i ettertid.
3) Samtykke ved innsamling av personopplysninger
Vi kan ikke se at merknadene tar hensyn til de tilfellene hvor den registrerte ikke selv kan gi sitt samtykke og hvor det er nødvendig å innhente samtykke fra for eksempel pårørende. Vi viser til gjeldende konsesjonsvilkår pkt. 2.3.2, vedrørende innhenting av samtykke og mener at denne bestemmelsen bør videreføres. Vilkåret lyder:
”Samtykke skal spesifisere hvilke kilder opplysningene kan innhentes fra. Det skal ikke benyttes blancofullmakter i denne forbindelse. Bare opplysninger som er relevante for den konkrete saksbehandlingen, kan innhentes ved bruk av fullmakt.”
4)Relevanskravet
Forsikringsnæringen er ikke enig i et vilkår som fastslår at det er lege/behandlingsinstitusjon, trygdekontor eller annen offentlig etat som skal vurdere hvilke helseopplysninger som er relevante for forsikringsselskapet, jf. pkt 4) a). Det er en forutsetning for forsvarlig forretningsdrift at det er balanse i partenes informasjon med hensyn til forhold som er relevant for omfanget av deres forpliktelser. Når det gjelder forsikring av liv/helse, er helseopplysningene av avgjørende betydning for om forsikring kan gis eller ikke. Risikovurdering i forbindelse med tegning av personforsikring, er basert på særskilt kunnskap om forsikring og forskjellige typer forsikringsprodukter. Det innebærer at det kan variere hvilke helseopplysninger som vektlegges for forskjellige forsikringsprodukter. Det kan ikke forventes at vanlig helsepersonell har en slik nødvendig kunnskap. Når det gjelder erstatningsoppgjør etter personskade, er helseopplysningene av vesentlig betydning og det kreves særlige kunnskaper om forsikringsdekningen for å bestemme hvilke helseopplysninger som er relevante for å avgjøre om en personskade er dekningsmessig eller ikke. Det er også svært viktig ved vurdering av en forsikringssøknad eller ved et forsikringsoppgjør å kunne sammenholde opplysninger fra ulike leger, behandlingsinstitusjoner og trygdekontoret. En enkelt lege eller behandlingsinstitusjon vil ikke ha en slik nødvendig oversikt.
Vi foreslår at første og siste avsnitt i pkt. 4) beholdes slik at konsesjonsvilkåret får følgende ordlyd:
”Det kan kun behandles personopplysninger som er relevante og nødvendige for gjennomføring av forsikringsavtalen, herunder vurdering av risikoen og fastsettelse av skadeoppgjørets omfang. Dersom behandlingsansvarlige mottar opplysninger som ikke er relevant for formålet skal opplysningene returneres/slettes på tilfredsstillende måte.”
6) Bruk av fødselsnummer
Utviklingen når det gjelder premieberegningene for skadeforsikring, er at premiene blir mer individualisert. Det tas hensyn til skadehistorikk i selskapet og kredittopplysninger i risikovurderingen. Det er helt nødvendig for skadeforsikringsselskapene å ha fødselsnummer for å kunne gi en riktig pris som er basert på en risikovurdering av den enkelte kunde, og ikke en pris basert på gjennomsnittsforutsetninger. Det er naturlig å legge til grunn at kunden ønsker å få oppgitt den riktige prisen når det innhentes tilbud for å kunne ha et riktig sammenligningsgrunnlag. Personvernet kan her ivaretas ved at opplysningene ikke brukes til andre formål, at de slettes etter rimelig tid og at det gis informasjon om hva fødselsnummeret brukes til. Dersom vi ser denne merknaden i sammenheng med pkt. 8), kan vi ikke se at opplysning om fødselsnummer vil innebære en stor personvernulempe for kundene.
Vi er videre imot en innstramming vedrørende bruk av fødselsnummer for å foreta kredittvurdering. Kredittvurdering er en viktig del av risikovurderingen særlig for skadeforsikring og fødselsnummer sikrer kredittvurdering for riktig person. I forhold til personopplysningslovens målsetting om datakvalitet mener vi at bruk av fødselsnummer sikrer dette på en bedre måte. Kunden gis på forhånd informasjon om at kredittvurdering er en del av risikovurderingen. Vi vil igjen vise til merknaden om sletting i pkt.8) og vi kan ikke se at bruk av fødselsnummer for å sikre kredittvurdering på riktig person, innebærer en stor personvernulempe for kundene.
7) Utlevering – Bruk til andre formål
Når det gjelder foreslåtte vilkår om konsernkunderegisteret jf. 7) a), mener vi at produktkategoriene synes å være for grove, og forslår at dagens praksis med registrering av tjeneste- og produkttype videreføres inntil Banklovkommisjonens forslag i utredning nr.6 (NOU 2001:23 om finansforetakenes virksomhet) og § 13-8 i lovutkastet blir behandlet.
Datatilsynet setter som vilkår, jf 7) d) at samtykke skal innhentes ved overføring av kundeopplysninger i forbindelse med konkurs, fusjon og fisjon og dette går forsikringsnæringen som nevnt innledningsvis imot. Vi har vanskelig for å se at dette er en ny type behandling av personopplysninger som krever samtykke etter personopplysningsloven. Dette kan neppe anses som innsamling eller utlevering av personopplysninger. Vi ser at dette er prosesser som krever at det blir gitt informasjon til kundene, men mener at dette er ivaretatt i annen lovgivning og av tilsynsmyndighetene på finansområdet. Kundene har for øvrig en lovhjemlet rett til å si opp sine forsikringer dersom de ikke ønsker å videreføre forsikringsavtalen med et forsikringsselskap som har fått nye eller flere eiere, jf forsikringsavtalelovens §12-3. Livs- og pensjonsforsikringer kan også på et hvilket som helst tidspunkt flyttes til annen forsikringsgiver etter forsikringstakers ønske. Et krav om samtykke fra hver enkelt kunde i slike situasjoner vil erfaringsmessig kunne føre til at mange kunder vil miste sin løpende forsikring. I tillegg vil et slikt vilkår kreve uforholdsmessig mye ressurser i et forsikringsselskap som f.eks er i en fusjonsprosess, og som ikke på noen måte står i forhold til den eventuelle personverngevinst som oppnås. Som eksempel kan nevnes fusjonen mellom Vital Forsikring ASA og Gjensidige NOR Spareforsikring ASA og det store antall forsikringskunder som er berørt av fusjonen.
8) Sletting
FNH henvendte seg til Datatilsynet 04.02.04 for å få klarhet i hva som er ment med ”oppsagte forsikringer”. Vi fikk tilbakemelding fra Datatilsynet 05.04.04 som viser til at ”oppsagte forsikringer” er løpende forsikringer som er sagt opp og avslåtte søknader. Det vises videre til at søknader som en potensiell kunde trekker gis 1 måneds slettefrist. Vi går imot innskrenkninger i forhold til gjeldende konsesjonsvilkår og slettefrister som ble bestemt etter forrige konsesjonsrunde i år 2000 og den etterfølgende klageprosessen. Vi kan derfor ikke akseptere at søknader som kunden selv trekker skal ha en annen slettefrist enn andre bortfalte søknader. I disse tilfellene vil det for mange typer personforsikringer b.l.a være utstedt midlertidig forsikring, jf. forsikringsavtalelovens § 12-9. Forsikringsselskapene har et saklig behov for å lagre opplysninger om avslåtte/bortfalte søknader, og det vises i den forbindelse til klage fra Storebrand til Justisdepartementet i brev av 28.12.99 og departementets svarbrev av 21.12.2000 til Storebrand som følger vedlagt. Det er behov for å lagre disse opplysningene så lenge eventuelle forsikringskrav ikke er foreldet. Enkelte forsikringskrav har en foreldelsesfrist på 20 år. Vi mener derfor at gjeldende foreldelsesfrister må fastsettes som slettefrist.
Når det gjelder opplysninger knyttet til potensielle kunder, ønsker vi at denne gruppen spesifiseres nærmere og avgrenses i forhold til hva som regnes som ”oppsagte forsikringer”. For noen typer skadeforsikringer der kunden ønsker å innhente pris i flere forsikringsselskap, kan vi imidlertid se at opplysningene kan slettes dersom kunden ikke har benyttet tilbudet om forsikring. Vi er imidlertid ikke enig i at denne fristen skal settes til 1 måned, fordi akseptfristene som gis som oftest er 3 måneder eller lenger. I slike tilfeller vil det kunne være rimelig med en slettefrist på 1 måned etter at akseptfristen har løpt ut, for å sikre at personopplysningene ikke blir slettet i tilfeller der aksepten av praktiske årsaker ikke har kommet inn til selskapet.
Avslutningsvis ønsker vi å påpeke at vi i denne prosessen er positive til å bidra med nærmere informasjon om forsikringsnæringen og våre synspunkter i et møte, eller på annen måte dersom det er ønskelig.
Vennlig hilsen
FINANSNÆRINGENS HOVEDORGANISASJON
Arne Skauge
Adm.direktør
Mette Knutsen
Kontorsjef
Vedlegg: Brev av 28.12.99 fra Storebrand
Brev av 21.12.00 fra Justisdepartementet