Kreditupplysningsskyddskod (Nya Zeeland)
Integritetskoden för kreditrapportering (CRPC) utfärdades av Privacy Commissioner Marie Shroff den 6 december 2004. Det är en av flera uppförandekoder som utfärdats av Privacy Commissioner enligt avsnitt 46 i Privacy Act .
Koden har ändrats 6 gånger, med en 7:e ändring på gång, med ändringarna enligt följande:
- Ändring nr 1 – 1 april 2006 (nu upphört att gälla)
- Ändring nr 2 – 1 april 2006
- Ändring nr 3 – 22 februari 2010;
- Ändring nr 4 – 1 oktober 2011 och 1 april 2012
- Ändring nr 5 – 1 december 2011 och 1 april 2012
- Ändring nr 6 – 1 april 2012
Koden ersätter integritetslagens 12 sekretessprinciper, med 12 sekretessregler som är speciellt anpassade för kreditupplysningsfrågor .
Sammanfattning av koden
Koden reglerar i lag frågor som rör kreditupplysning. Koden är dock endast begränsad till kreditupplysningsföretag som faktiskt säljer kreditinformation, så för närvarande gäller koden endast för 3 kreditupplysningsföretag, Veda Limited , Dun & Bradstreet Limited och nyligen nykomling Centrix Group Limited.
En av de viktigaste aspekterna av Koden är att individer nu har rätt till en gratis kopia av sin kreditupplysning. Inte bara det, individer har också rätt till en kopia av all sin kreditinformation, som inte bara inkluderar den normala kreditupplysningen, utan även andra saker som en kopia av din kreditvärdering, åtkomstlogg och till och med kreditupplysningarnas interna arkivera anteckningar.
Andra saker som koden omfattar är rutiner för att hantera klagomål, att upprätthålla en åtkomstlogg till din kreditupplysning, maximala tidsramar för att rapportera osäkra fordringar, kreditförfrågningar, etc., att ha adekvata abonnentavtal, tillåta vissa förfrågningar till din kreditupplysning utan samtycke. krävs, förbjuder inkassobyråer från osäkra fordringar att lista skulder på deras konto, kräver kreditundertryckande där en person är ett offer för identitetsbedrägeri, och nu senast tillåter positiv rapportering.
Kodens 12 integritetsregler
Regel 1: Syfte med insamling av kreditinformation Regel 2: Källa till kreditinformation Regel 3: Insamling av kreditinformation från individuell Regel 4: Sätt att samla in kreditinformation Regel 5: Lagring och säkerhet för kreditinformation Regel 6: Tillgång till kreditinformation Regel 7: Korrigering av kreditinformation Regel 8: Korrekthet etc. för kreditinformation Regel 9: Bevarande av kreditinformation Regel 10: Begränsningar för användning av kreditinformation Regel 11: Begränsningar för avslöjande av kreditinformation Regel 12: Unika identifierare
Regel 1: Syftet med insamlingen av kreditinformation
Personuppgifter får inte samlas in av en kreditupplysare såvida inte informationen samlas in för ett lagligt ändamål kopplat till en funktion eller verksamhet hos kreditupplysningsföretaget och även att insamlingen av informationen är nödvändig för det ändamålet.
En kreditupplysare får inte heller samla in personlig information för kreditupplysningsändamål såvida det inte är kreditupplysningar enligt definitionen i koden, så sådant som brottsregister och etnicitet kan inte inkluderas i en kreditprövning.
Regel 2: Källa till kreditinformation
Om en kreditupplysare samlar in kreditinformation måste den samla in informationen direkt från den berörda individen, såvida inte kreditupplysningsföretaget på rimliga grunder anser: (a) att informationen är allmänt tillgänglig information. (b) att den berörda personen tillåter insamling av informationen från en annan källa; (c) att det krävs för alla utredningar enligt lagen av en offentlig myndighet, inklusive förebyggande, upptäckt, utredning, lagföring och bestraffning av brott; (d) att det krävs för indrivning av böter eller skatter. (f) indrivningen är från en indrivare som indriver en skuld som den berörda personen är skyldig
Denna regel låter kreditupplysaren effektivt uppdatera någons nya adress om den tillhandahålls av andra källor än från en vanlig kreditförfrågan.
Regel 3: Insamling av kreditinformation från individ
Om en kreditupplysningsföretagare som Veda samlar in kreditinformation direkt från den berörda individen, såsom en begäran om en kopia av din egen kreditupplysning, måste kreditupplysningsföretaget vidta sådana åtgärder (om några) som under omständigheterna är rimliga för att säkerställa att den berörda personen är medveten om:
(a) det faktum att informationen samlas in. (b) De syften för vilka informationen samlas in. c) De avsedda mottagarna av informationen. d) Namn och adress till; (i) den myndighet som samlar in informationen; och (ii) byrån som kommer att inneha informationen; (e) huruvida tillhandahållandet av informationen är frivillig eller obligatorisk och om det är obligatoriskt den särskilda lag (om någon) enligt vilken det krävs; (f) konsekvenserna (om några) för den personen om hela eller delar av den begärda informationen inte tillhandahålls; och (g) rätten till tillgång till och korrigering av kreditinformation som innehas av kreditupplysaren enligt reglerna 6 och 7.
En kreditupplysare måste på ett iögonfallande sätt visa på kreditupplysarens webbplats ett uttalande som anger för vilka ändamål den samlar in kreditinformation och för vilka ändamål informationen kommer att användas och lämnas ut.
Det är värt att notera att kreditupplysningsföretaget inte kan uppdatera din kreditupplysning med information som du lämnar (t.ex. bostadsadress) som personen lämnat för att få en kopia av din egen kreditupplysning, såvida inte personen samtycker till detta. Ett sådant samtycke är dock dolt i de flesta kreditupplysningsföretagens officiella ansökningsformulär.
Regel 4: Metod för insamling av kreditinformation
Denna regel anger att kreditupplysningar inte får samlas in av en kreditupplysare på vare sig olagliga sätt, på sätt som, under omständigheterna i fallet, är orättvisa eller i orimlig utsträckning inkräktar på den berörda personens personliga angelägenheter.
Regel 5: Lagring och säkerhet för kreditinformation
En kreditupplysningsföretagare som innehar kreditupplysningar måste se till att informationen skyddas, av sådana säkerhetsåtgärder som det är rimligt att vidta under omständigheterna, mot förlust, obehörig åtkomst och användning, såväl som all annan missbruk, inklusive missbruk av någon med behörighet åtkomst såsom en abonnent.
Att om det är nödvändigt att informationen lämnas till en person i samband med tillhandahållande av en tjänst till kreditupplysningsföretaget, görs allt som rimligen ligger inom kreditupplysningsföretagets makt för att förhindra obehörigt användande eller obehörigt röjande av informationen.
En kreditupplysningsföretagare måste vidta följande åtgärder för att skydda den kreditinformation den har mot obehörig åtkomst eller missbruk: (a) utveckla skriftliga policyer och procedurer som ska följas av dess anställda, agenter och entreprenörer; (b) införa kontroller för åtkomstautentisering såsom användning av lösenord, autentiseringstokens eller andra mekanismer; (c) tillhandahålla information och utbildning för att säkerställa efterlevnad av policyer, förfaranden och kontroller. (d) säkerställa att ett abonnentavtal som överensstämmer med schema 3 finns på plats innan information lämnas ut enligt regel 11(2); (e) övervaka användningen och regelbundet kontrollera efterlevnaden av avtalet, policyerna, procedurerna och kontrollerna och kraven i denna kod; (f) identifiera och undersöka eventuella överträdelser av avtalet, policyerna, procedurerna och kontrollerna; (g) vidta snabba och effektiva åtgärder med avseende på eventuella överträdelser som identifieras; (h) systematiskt se över effektiviteten hos policyerna, förfarandena och kontrollerna och omedelbart åtgärda eventuella brister. och (i) underhålla en åtkomstlogg.
Den åtkomstlogg som krävs enligt underregel (2)(i) måste innehålla en registrering av tid, datum, abonnentändamål i förhållande till varje åtkomst och måste identifiera, eller tillhandahålla ett sätt att identifiera, den specifika användaren och måste även innehålla en post för tid, datum, abonnentsyfte i förhållande till varje åtkomst och måste identifiera, eller tillhandahålla ett sätt att identifiera, den specifika användaren.
Regel 6: Tillgång till kreditinformation
Dessa regler anger att en individ har rätt att få tillgång till all sin kreditupplysning som innehas av en kreditupplysningsföretagare, och när kreditupplysningsföretaget får denna information måste kreditupplysningsföretaget informera personen om att enligt regel 7 kan personen begära rättelse av den. information.
Koden och Privacy Commissioner har gjort det ganska tydligt att en individ har rätt att få tillgång till sin kreditinformation, och inte bara enbart sin kreditupplysning, eftersom kreditinformation (enligt definitionen i koden) innehåller mycket mer information, t.ex. åtkomstlogg, kreditvärdighet och till och med kreditupplysningarnas interna filanteckningar.
Även om integritetslagen inte tillåter en kreditreporter att vägra en begäran om åtkomst på grund av att han inte använder ett officiellt ansökningsformulär, följer tyvärr de flesta kreditgivarereportrar inte detta. Rent juridiskt, allt de behöver är ditt fullständiga namn och ditt födelsedatum för att identifiera din kreditupplysning, plus lite ID för att juridiskt få din kreditupplysning.
Vidare framgår av 7 § i balken att kreditupplysningsgivaren inte kan ta betalt för att lämna denna information, om inte den enskilde begär att informationen ska lämnas inom 5 arbetsdagar, i vilket fall en skälig avgift kan tas ut.
Trots att koden uttryckligen anger de 5 arbetsdagarna, använder kreditreportern både Veda och Dun & Bradstreet istället en tidsperiod på 20 arbetsdagar i strid med denna lag.
Regel 7: Korrigering av kreditinformation
Om en kreditupplysare innehar kreditinformation har den berörda personen rätt att både begära rättelse av informationen; samt att begära att det till uppgiften fogas en redogörelse för den begärda men inte gjorda rättelse.
En kreditupplysare som innehar kreditupplysningar måste, om den berörda personen begär det eller på eget initiativ, vidta sådana åtgärder (om några) för att korrigera denna information som under omständigheterna är rimliga för att säkerställa att, med hänsyn till ändamålen för vilken informationen lagligen kan användas, är informationen korrekt, uppdaterad, fullständig och inte vilseledande.
När det gäller omtvistade skulder kräver koden att kreditupplysningsföretaget åtminstone flaggar det i sin databas som "omtvistat" (men fortfarande listat). Alternativt kan kreditreportern ta bort listan över osäkra fordringar helt och hållet. Integritetskommissionären har dock gjort det helt klart att om de bara flaggar det som "omtvistat", kan det mildra skadan, men det utgör inte en rättelse enligt lagen.
Regel 8: Korrekthet, etc, för kreditinformation
En kreditupplysningsföretagare som innehar kreditupplysningar får inte använda eller avslöja denna information utan att vidta sådana åtgärder (om några) som under omständigheterna är rimliga för att säkerställa att, med hänsyn till det syfte för vilket informationen föreslås användas eller lämnas ut. , informationen är korrekt, uppdaterad, fullständig, relevant och inte vilseledande.
En kreditupplysare ska, när han gör en jämförelse av personuppgifter med annan personlig information i syfte att ta fram eller verifiera information om en identifierbar individ, vidta sådana åtgärder som rimligen är genomförbara för att undvika felaktig matchning av informationen.
En kreditupplysningsansvarig måste säkerställa att ett abonnentavtal som överensstämmer med schema 3 finns på plats innan information lämnas ut enligt regel 11(2) samt upprätta och upprätthålla kontroller för att säkerställa att, så långt det är rimligt praktiskt möjligt, endast information som är korrekt, upp till dags dato används eller avslöjas fullständig, relevant och inte vilseledande;
Regel 9: Bevarande av kreditinformation
En kreditupplysningsföretagare som innehar kreditinformation får inte behålla den informationen längre än vad som krävs för de ändamål för vilka informationen lagligen kan användas, med schema 1 i koden som i praktiken anger de maximala tidsperioder som kreditinformation kan inkluderas i kreditupplysningar. .
De huvudsakliga maximala tidsperioderna är:
Information om återbetalningshistorik – 2 år (för positiv kreditupplysning) Kreditansökningar – 5 år Tidigare förfrågningar – 5 år Försummelser/Inkasso – 5 år från datum för utebliven domstol Domar – 5 år Konkurs – 5 år från dagen för utskrivning, men där en person har försatts i konkurs mer än en gång kan det anmälas på obestämd tid
Regel 10: Begränsningar för användning av kreditinformation
Enligt regel 10 får en kreditupplysare som innehar kreditinformation som erhållits i samband med ett ändamål inte använda informationen för något annat ändamål såvida inte kreditupplysningsföretaget på rimliga grunder anser: (a) att informationskällan är en offentlig tillgänglig publikation; (b) att användningen av informationen för det andra ändamålet är godkänd av den berörda personen. (c) att bristande efterlevnad är nödvändig för att undvika att lagen upprätthålls av någon myndighet i den offentliga sektorn, såsom polisen, IRD, eller för genomförandet av förfaranden inför någon domstol eller tribunal (som är förfaranden som har inletts eller är rimligen i övervägande)
Regel 11: Begränsningar för utlämnande av kreditinformation
Enligt regel 11 får en kreditupplysningsföretagare som innehar kreditinformation inte avslöja informationen om inte kreditupplysningsföretaget på rimliga grunder anser att avslöjandet är auktoriserat av den berörda personen (t.ex. i ett kreditavtal) och endast görs till en kredit. tillhandahållare i syfte att fatta ett kreditbeslut, av en presumtiv hyresvärd, av en presumtiv arbetsgivare där tjänsten innebär betydande ekonomisk risk, eller av ett presumtivt försäkringsbolag.
Auktorisationen måste vara uttrycklig och fullständigt informerad. Det räcker inte för en abonnent att bara meddela en person att en kreditprövning kommer att göras som en del av en kreditansökningsprocess. Auktorisationen behöver inte vara skriftlig, men frånvaron av skriftliga bevis kan utgöra ett problem om kreditupplysaren senare måste bevisa att den på rimliga grunder trodde att en auktorisation fanns.
En kreditupplysningsbyrå kan också avslöja kreditinformation till polisen, vilken som helst verkställande statlig myndighet, IRD, och om det krävs för domstolsförfaranden, utan att individens samtycke krävs.
Regel 12: Unika identifierare
För att dämpa "Big Brothers" oro, anger regel 12 att en kreditupplysare inte får tilldela en unik identifierare till en individ om inte tilldelningen av denna identifierare är nödvändig för att göra det möjligt för kreditupplysningsföretaget att utföra en eller flera av sina funktioner effektivt (dvs. internt referensnummer).
Detta referensnummer kan inte vara detsamma som används av någon annan organisation. Koden har dock ändrats sedan dess så att en kreditreporter nu kan behålla en individs körkortsnummer.
Kritik mot koden
Koden har flera brister såsom:
- Om du betalar för din kreditupplysning och hittar felaktig information finns det ingen som helst juridisk skyldighet för kreditupplysningsföretaget att återbetala avgiften.
- Kreditreporterernas prenumeranter är inte ens skyldiga att ta det enkla steget att meddela individen att en dålig notering har listats på din kreditupplysning. Detta är särskilt besvärligt där ett konto är i tvist och du kommer bara att få reda på om det har listats på din kreditupplysning, genom att ansöka om kredit eller betala kreditupplysningsföretaget för en kreditövervakningstjänst. Man skulle kunna tänka sig att detta ger kreditreportern ett ekonomiskt incitament att inte föra korrekta eller öppna register.
- Vidare, även när en notering av osäkra fordringar inträffar, skulle man tycka att det är klokt av abonnenten att också åtminstone meddela individen vilken information som har angetts på deras kreditupplysningar, såsom datum för fallissemang och det belopp som yrkas som skyldig, bara om det är felaktigt.
- I fall där en felaktig notering har visat sig vara felaktigt listad, kräver Koden inte ens att några pengar som felaktigt betalats ut till borgenären på grund av noteringen av osäkra fordringar ska återbetalas.
- Dessutom, där en abonnent eller kreditupplysningsgivare har visat sig ha felaktigt listad kreditinformation, kräver Koden inte att någon av de ibland betydande kostnader som individen kan ådra sig för att få denna information korrigerad ska ersättas.
- Även om Koden specifikt täcker kreditinformation, och inte bara kreditupplysningar, förbjuder Koden inte kreditgivare att vilseleda individer att de endast har rätt till en kopia av sin kreditupplysning, vilket framgår av både Vedas webbplats och deras ansökningsformulär.
Integritetskommissionen är väl medveten om dessa brister, och även om kommissionären har gjort många ändringar i denna kod tidigare, har hon valt att inte rätta till någon av dessa brister i koden.