Hva er kontoanalyse og hvem behandler data

Kontoanalyse betyr at du gir midlertidig innsyn i kontoen din slik at en långiver eller en teknisk tjenesteleverandør kan hente transaksjoner og saldo for å vurdere betalingsevne og risiko. Tilgangen gis som regel via BankID og bygger på tydelig informasjon om formålet. Typiske data som hentes er kontonavn, saldo, inntekter, utgifter og transaksjoner i en begrenset periode.

Ved kontoanalyse er det som oftest långiveren som er behandlingsansvarlig for kredittvurderingen. En tredjepart som utfører selve innhentingen eller analysen kan være databehandler (på oppdrag), eller i noen tilfeller egen behandlingsansvarlig for sin del. Banken din deler ikke data vilkårlig – overføringen skjer kun med ditt samtykke eller annet gyldig grunnlag, og kun til aktører som er identifisert i personvernerklæringen.

Kontoanalyse gir innsyn i kontodata for et spesifikt formål (kredittvurdering), ikke mulighet til å disponere pengene dine.

Dine rettigheter etter GDPR

GDPR gir deg flere konkrete rettigheter når kontodata brukes i en kontoanalyse. Under er de viktigste, med korte forklaringer og eksempler på hvordan de typisk virker i praksis.

• Rett til informasjon – du skal få klar beskjed om hvem som behandler dataene, formål med behandlingen, hvilke data som samles inn, lagringstid og hvem som mottar opplysningene.
• Rett til innsyn – du kan be om kopi av kontodataene som er hentet, og eventuelle analyserapporter som er laget av dine transaksjoner.
• Rett til retting – hvis noe er feil (for eksempel feilaktig kategorisering som påvirker vurderingen), kan du kreve korrigering eller at vurderingen gjøres på nytt.
• Rett til sletting – du kan be om sletting når data ikke lenger er nødvendige for formålet eller når behandlingen bygger på samtykke som trekkes tilbake. Unntak kan gjelde der andre lover krever lagring.
• Rett til begrensning – du kan be om at bruken av dataene «settes på pause» i situasjoner der du bestrider riktigheten eller lovligheten.
• Dataportabilitet – du kan be om å få utleverte data i et strukturert, maskinlesbart format for å ta dem med til en annen aktør.
• Rett til å protestere – du kan protestere på behandling til visse formål. Ved kontoanalyse for kreditt kan vurderingen vanligvis ikke fortsette uten nødvendig grunnlag.
• Automatiserte avgjørelser – hvis avgjørelsen er helt automatisert (f.eks. kredittscore), kan du be om menneskelig vurdering og få en forklaring på utfallet.

Hvis du ikke får tilfredsstillende svar, kan du kontakte personvernombudet hos aktøren eller klage til Datatilsynet.

Du kan be om innsyn og kopi av data som er brukt i kontoanalyse. Behandlingsansvarlig skal normalt svare uten ugrunnet opphold, ofte innen om lag en måned.

Samtykke, behandlingsgrunnlag og formål

I praksis gis samtykke via BankID når du deler bankdata til kontoanalyse. Samtykket skal være frivillig, spesifikt og informert. Du skal forstå hva som deles, hvor lenge, og hvorfor. I tillegg kan andre rettslige grunnlag være relevante for deler av prosessen, for eksempel oppfølging av lovpålagte krav i finanssektoren. Velg kun aktører som forklarer dette tydelig i personvernerklæringen.

Du kan sammenligne ulike lånetilbud før du gir tilgang til kontodata, slik at du bare deler når det faktisk er nødvendig for søknaden du ønsker å gå videre med.

Formålet med innhentingen må være tydelig og begrenset (for eksempel kredittvurdering og saksbehandling). Gjenbruk til andre formål krever som hovedregel nytt grunnlag.

Lagring, deling og sikkerhet

Lagringstiden skal ikke være lenger enn nødvendig for formålet, og aktøren skal beskrive tidsrom eller kriterier for lagring. Deling med underleverandører skal være regulert i egne avtaler, og eventuelle overføringer utenfor EØS krever gyldige beskyttelsestiltak. Se etter kryptering, tilgangskontroll og loggføring som en del av sikkerheten.

• Hvem er ansvarlig – navn/kontakt til behandlingsansvarlig og databehandler(e).
• Hvilke data – kategorier av kontodata og hvor lang periode som hentes.
• Lagringstid – konkret tid eller kriterier (for eksempel «så lenge søknaden behandles, og deretter kun der lov krever»).
• Mottakere – hvem får innsyn i rapporten eller rådataene.
• Overføringer – om data går utenfor EØS og hvilke garantier som brukes.
• Dine rettigheter – hvordan du bruker dem og kontaktpunkt/ombud.

Be om en oversikt over hvem som har hatt tilgang til kontodataene dine, og når tilgangen utløper.

Automatiserte avgjørelser og profilering

Kontoanalyse brukes ofte til å lage en risikovurdering (score) basert på transaksjoner. Hvis avgjørelsen gjøres uten menneskelig innblanding, kan du be om manuell gjennomgang, få en forståelig forklaring på vurderingen og bestride utfallet. Dette er særlig relevant hvis du mener data er feil eller vurderingen bygger på svake antakelser om forbruksmønster. Les mer om profilering hos Datatilsynet.

Slik bruker du rettighetene dine steg for steg

Når du vil utøve rettigheter knyttet til personvern, lønner det seg å være konkret. Følg disse enkle stegene:

1. Finn riktig kontaktpunkt – se personvernerklæringen og identifiser behandlingsansvarlig (ofte långiver) og eventuelle databehandlere.
2. Beskriv hva du ønsker – innsyn, sletting, retting, begrensning, dataportabilitet eller protest. Oppgi tidsrommet for kontodata (for eksempel «siste 6 måneder»).
3. Legitimer deg sikkert – følg veiledningen deres (ikke send BankID-detaljer; bruk sikre kanaler de oppgir).
4. Følg opp frister – svar skal normalt komme raskt, ofte innen om lag én måned. Be om status ved forsinkelser.
5. Klage ved uenighet – eskaler til personvernombudet eller klag til Datatilsynet hvis du ikke får gjennomslag.

Et kort eksempel på forespørsel: «Jeg ber om innsyn i alle kontodata og analyser hentet i forbindelse med min lånesøknad datert [dato], inkludert lagringstid, mottakere og eventuelle automatiserte vurderinger.»

Praktiske råd når du vurderer kontoanalyse ved lån

Vær bevisst på hva du deler og når. Ofte kan du innhente informasjon om priser og vilkår først, og bruke kontoanalyse senere i prosessen når du faktisk ønsker tilbud. Bruk gjerne en nøytral tjeneste for sammenlikning av lån før du gir tilgang til kontodata.

• Minimer delingen – del bare kontoer og tidsperioder som er nødvendige for formålet.
• Les personvernerklæringen – sjekk lagringstid, mottakere og sikkerhetstiltak.
• Avklar formål på forhånd – be om skriftlig bekreftelse på at data kun brukes til kredittvurdering og saksbehandling.
• Trekk samtykke ved behov – hvis du ombestemmer deg før lånet inngås, si fra skriftlig og be om sletting der det er mulig.