Datatilsynet får mange henvendelser fra forsikringskunder som viser at folks oppfatning av hva som er rimelig behandling av personopplysninger ikke alltid samsvarer med selskapenes. Datatilsynet har lenge etterlyst en regulering av hva som skal kunne registreres av opplysninger i et forsikringsselskap.
Personregistre i livsforsikringsselskapene var tidligere unntatt fra konsesjonsplikten i forskriftene til personregisterloven. Forskriften ble endret 1. januar 1997, og Datatilsynet utarbeidet i den forbindelse standardkonsesjoner til alle forsikringsselskapene. Arbeidet med både utvikling og tildeling har tatt noe tid, ikke minst fordi konsesjonene krever en total gjennomgang av sikkerhetsopplegget i selskapene før konsesjon blir tildelt. I 1999 la tilsynet ned mange ressurser i å revidere konsesjonsvilkårene for livsforsikringsselskapene.
Informasjonsplikt overfor kunden
I konsesjonsvilkårene har Datatilsynet lagt stor vekt på selskapets plikt til å informere kunden om ulike sider ved bruk av personopplysninger.
- Dette skal sikre den registrerte større kontroll med opplysninger om seg selv, samt en større mulighet til å utøve rettighetene kunden har etter personregisterloven. Informasjonsplikten er også i tråd med kravene i EU-direktivet om personvern og forslaget til personopplysningslov, sier juridisk rådgiver Britt Jøsok i Datatilsynet.
Hun orienterer om at informasjonsplikten inntrer når utlevering skjer med hjemmel i lov, i forskrift gitt med hjemmel i lov eller etter enkeltvedtak fattet av Datatilsynet.
-Informasjonen skal inneholde opplysninger om hva som utleveres, til hvilket formål og hvem som er mottaker av opplysningene. Dette gjelder ikke dersom bestemmelsen som hjemler rapporteringsplikt fastsetter noe annet. Melding er ikke nødvendig ved rutinemessig utlevering av opplysninger til offentlige myndigheter, sier Jøsok.
Informasjon om sentrale registre
I tillegg til dette skal kunden så tidlig som mulig informeres om de av forsikringsbransjens sentrale registre som er av betydning for den forsikring søknaden gjelder. Det skal informeres om at kunden vil kunne bli kontrollert mot bransjens sentrale registre, hvilke registre dette gjelder, samt vilkår for registrering i disse registrene.
- Kunden skal også orienteres om at forsikringsselskapet er pålagt rapporteringsplikt overfor en del offentlige myndigheter, og at det i denne sammenheng vil kunne bli utlevert opplysninger om kunden til myndighetene, forteller Jøsok.
Samtykke
Konsesjonen legger vekt på at opplysninger bare skal samles inn etter samtykke fra den registrerte, og at dette samtykket må være så konkret som mulig. Britt Jøsok påpeker at det ikke lenger er akseptabelt med såkalte blanco-fullmakter der kunden samtykker til at selskapet kan innhente "hva-som-helst hvor-som-helst".
Klage på konsesjonsvilkår
To store selskaper har påklaget deler av konsesjonen.
- Klagen omfattet tre sentrale spørsmål; muligheten for å registrere opplysninger om avslåtte og bortfalte kunder, kravet om at selskapets lege skulle gjennomgå tilsendte legejournaler og trygdejournaler, og plikten til å informere om utlevering ved mistanke om svik.
Datatilsynets styre har behandlet klagen i første omgang, og selskapene har fått delvis medhold på flere punkter. Av styrets vedtak går det fram at selskapene har anledning til å registrere opplysninger om bortfalte/avslåtte søknader, men med begrenset adgang til å bruke opplysningene. Selskapenes lege skal kunne gjennomgå journaler og trygdemapper i den grad disse er sendt inn i sin helhet etter oppfordring fra selskapet. Dersom selskapet mottar hele journaler eller trygdemapper uoppfordret kan materialet gå direkte til saksbehandler dersom saken inneholder en erklæring om at det er foretatt en relevansvurdering.
Informasjonsplikten ved undersøkelser av svik mot forsikringskollektivet kan utsettes når det er nødvendig for å foreta en forsvarlig avdekking av konkret og begrunnet mistanke om svik.
Selskapene har ennå ikke tatt endelig stilling til om deler av klagen likevel skal opprettholdes.