Utlämnande av uppgifter ur det positiva kreditupplysningsregistret

Det har gjorts ändringar i anvisningen den 1 december 2025 som redan tidigare har publicerats i anvisningen som gäller utlämnande av uppgifter i den andra fasen av registret: Utlämnande av uppgifter ur det positiva kreditupplysningsregistret från och med den 1 april 2026:

• punkt 3 Användare av uppgifter ur det positiva kreditupplysningsregistret – Punkten Tillgången till uppgifter förutsätter ett dataanvändningstillstånd har flyttats hit och information har lagts till, information har lagts till i Kreditgivarnas rätt att få uppgifter, information har lagts till i Användningsändamål för utdraget ur kreditupplysningsregistret
• punkt 4 Innehållet i utdraget ur kreditupplysningsregistret – Information om hur aktuella uppgifter är har lagts till och uppgifter om krediter för näringsverksamhet har lagts till
• avsnittet Tillgången till uppgifter förutsätter ett dataanvändningstillstånd som tidigare har varit i punkt 5 har flyttats till punkt 3
• en ny punkt 5 Uppgiftsanvändarens ansvar har lagts till
• dessutom andra preciseringar av anvisningarna.

 

I det här dokumentet finns det information om uppgifter som utlämnas ur det positiva kreditupplysningsregistret, om mottagare av uppgifter, om användningsändamålen för de uppgifter som utlämnas samt om en säker behandling av uppgifter.

I detta dokument ges inga detaljerade anvisningar om hur kreditgivaren kan ansöka om dataanvändningstillstånd, sköta ärenden med Inkomstregisterenheten eller tekniskt hämta utdraget ur kreditupplysningsregistret. I dokumentet behandlas inte heller hur en privatperson kommer åt sina egna uppgifter eller övriga rättigheter som en registrerad har i enlighet med EU:s allmänna dataskyddsförordning.

Information om ovan nämnda ärenden hittar du i följande anvisningar:

• gränssnittsbeskrivning för förfrågan om utdrag ur kreditupplysningsregistret (pdf)
• allmänna anvisningar för programutvecklare (pdf)
• anvisning för ansökan om dataanvändningstillstånd för kreditgivare
• vår dataskyddspraxis
• anvisningar för e-tjänsten för privatpersoner.

Inkomstregisterenheten har inte behörighet att ge anvisningar om hur kreditgivaren som har rätt att få uppgifter ska använda uppgifterna i utdraget ur kreditupplysningsregistret vid kreditgivningen.

1 Termer som används i dokumentet

Med användare av uppgifter avses de kreditgivare och myndigheter som har en i lag fastställd rätt att få uppgifter ur registret. Användare av uppgifter är även kreditupplysningsföretag, till vilka uppgiften om ett frivilligt kreditförbud kan utlämnas om personen som har ställt förbudet ger sitt samtycke till det.

Med en konsumentkredit avses en sådan konsumentkredit eller därmed jämförbar kredit på vilken bestämmelserna i kap. 7 eller kap. 7 a i konsumentskyddslagen (38/1978) tillämpas.

Med en annan kredit än en konsumentkredit avses en kredit, ett betalningsanstånd eller ett annat ekonomiskt arrangemang som beviljas en fysisk person och på vilken eller vilket det tas ut ränta eller andra kostnader och som inte är en ovan nämnd konsumentkredit.

Med kredittagare eller gäldenärer avses fysiska personer som har beviljats en konsumentkredit eller en annan kredit än en konsumentkredit. En fysisk person är alltid en människa. En enskild näringsidkare (firmaföretagare) är en fysisk person. Juridiska personer, såsom aktiebolag eller öppna bolag, är däremot inte fysiska personer.

Med kreditsökande avses fysiska personer som ansöker om konsumentkrediter eller andra krediter än konsumentkrediter.

Med kreditgivare avses näringsidkare som enligt avtal lämnar eller utfäster sig att lämna kredittagare krediter som lån, betalningsanstånd eller som något annat motsvarande ekonomiskt arrangemang, på vilken eller vilket det tas ut ränta eller kostnader. Som kreditgivare räknas även en sådan näringsidkare som till kredittagaren förmedlar en konsumentkredit som beviljats av någon annan än en kreditgivare (förmedlare av person-till-person-lån).

I detta dokument avses med en kreditgivare även en aktör som i en annan situation än när en kredit beviljas har rättighet eller skyldighet att bedöma en gäldenärs kreditvärdighet eller skyldighet att kontrollera att uppgifterna som gäller gäldenären är aktuella.

Kreditgivarna som har rätt att använda uppgifterna i det positiva kreditupplysningsregistret specificeras i 21 § i lagen om ett positivt kreditupplysningsregister (739/2022).

Med ett utdrag ur kreditupplysningsregistret avses kreditupplysningsrapporten enligt lagen om ett positivt kreditupplysningsregister.

2 Sekretess och offentlighet för uppgifter i det positiva kreditupplysningsregistret

2.1 Sekretessbelagda uppgifter och personuppgifter

Enligt 3 § i lagen om ett positivt kreditupplysningsregister är de uppgifter som registrerats i det positiva kreditupplysningsregistret sekretessbelagda, med undantag för den anmälningsskyldiges namn och företags- och organisationsnummer eller utländska organisationsnummer. Uppgifter ur det positiva kreditupplysningsregistret får utlämnas endast för de användningsändamål som specificerats i lagen om ett positivt kreditupplysningsregister.

Uppgifterna i det positiva kreditupplysningsregistret är personuppgifter, för vilka man vid behandlingen ska iaktta Europaparlamentets och rådets förordning (EU) 2016/679 (allmän dataskyddsförordning) om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG samt bestämmelserna i dataskyddslagen (1050/2018), inklusive tillräcklig informationssäkerhet samt god databehandling och informationshantering. Uppgifterna som fås ut registret omfattas av sekretess och tystnadsplikt, det vill säga uppgifterna får inte röjas eller användas för att skaffa sig själv eller någon annan fördel (22 § och 23 § i offentlighetslagen).

2.2 Offentliga uppgifter

Den anmälningsskyldiges namn, företags- och organisationsnummer och utländska organisationsnummer som har lagrats i det positiva kreditupplysningsregistret utgör offentliga uppgifter. På webbsidan för det positiva kreditupplysningsregistret finns information om de kreditgivare som har godkänts som anmälare och för vilka ett positivt beslut om öppnandet av en förbindelse har fattats.

Anmälare av uppgifter

3 Användning av uppgifterna i det positiva kreditupplysningsregistret

3.1 Tillgången till uppgifter förutsätter ett dataanvändningstillstånd

I 27 a § i lagen om ett positivt kreditupplysningsregister står det för kreditgivares del att en förutsättning för utlämnande av uppgifter ur det positiva kreditupplysningsregistret är ett beslut som utfärdas av Inkomstregisterenheten. Beslutet meddelas på kreditgivarens ansökan. Kreditgivaren ska i sin ansökan lägga fram en tillräcklig utredning om företaget och dess verksamhet, användningsändamålet för uppgifterna samt skyddet av uppgifterna och tillsynen över användningen av dem. Om de lagstadgade förutsättningarna uppfylls fattar Inkomstregisterenheten utifrån kredittagarens ansökan ett beslut om dataanvändningstillstånd som ger sökanden rätt till uppgifterna. Inkomstregisterenheten måste som myndighet som ansvarar för utlämnandet av uppgifterna före uppgifterna utlämnas försäkra sig om att man i verksamheten för den aktör som begär uppgifterna har säkerställt en datasäker behandling av de sekretessbelagda uppgifter och personuppgifter som begärs ur registret.

Dataanvändningstillståndet är ett förvaltningsbeslut och på det tillämpas bestämmelserna i 7 kap. i förvaltningslagen (434/2003). Ändring i beslutet kan sökas på det sätt som anges i lagen om rättegång i förvaltningsärenden (808/2019). Inkomstregisterenheten har rätt att vägra att ge ut uppgifter eller rätt att återkalla ett beslut om dataanvändningstillstånd, om de förutsättningar för utlämnande av uppgifter som anges i lagen om ett positivt kreditupplysningsregister eller i någon annan lag inte uppfylls.

I lagen om ett positivt kreditupplysningsregister finns inga särskilda bestämmelser om förfarandet för dataanvändningstillstånd för myndigheter och kreditupplysningsföretag, men tillståndsförfarandet gäller också dessa användare av registrets uppgifter.

En kreditgivare som har fått ett dataanvändningstillstånd kan göra förfrågningar om uppgifter ur registret för de användningsändamål som fastställts i dataanvändningstillståndet. Kreditgivaren ska ansöka om ändring av dataanvändningstillståndet om det finns behov av att göra ändringar i de användningsändamål som fastställts, till exempel för att verksamheten som kreditgivaren bedriver ändras.

3.2 Kreditgivare och användningsändamålen för utdraget ur kreditupplysningsregistret

I 21 § i lagen om ett positivt kreditupplysningsregister finns det bestämmelser om de kreditgivare till vilka uppgifterna i utdraget ur kreditupplysningsregistret som avses i 22 § trots sekretessbestämmelserna kan utlämnas från registret. Dessutom finns det i 21 § i lagen bestämmelser om de användningsändamål för vilka Inkomstregisterenheten kan utlämna de uppgifter som finns i utdraget ur kreditupplysningsregistret till kreditgivare. Uppgifterna får endast användas för de ändamål som fastställts i lagen om ett positivt kreditupplysningsregister. Kreditgivaren ansvarar för att uppgifterna som denne fått från det positiva kreditupplysningsregistret används på lagenligt sätt och i enlighet med dataanvändningstillståndet.

3.2.1 Användningen av uppgifterna vid kreditgivningen

När kreditgivaren beviljar krediter som avses i konsumentskyddslagen har denne rätt att använda uppgifterna i registret när denne är skyldig att bedöma konsumentens kreditvärdighet i de situationer som förutsätts i konsumentskyddslagen. Från och med den 1 april 2026 kan kreditgivarna även använda registrets uppgifter för att bedöma kreditvärdigheten för en konsument eller en annan fysisk person än en konsument för användningsändamål som avses i 21 § i lagen om ett positivt kreditupplysningsregister. Mer information om de tillåtna användningsändamålen för utdraget ur kreditupplysningsregistret finns i kapitel 3.2.3 i denna anvisning.

Inkomstregisterenheten ger inte råd eller anvisningar om bedömningen av kreditvärdigheten och tar inte ställning exempelvis till i vilka situationer kreditgivaren ska beställa utdraget ur kreditupplysningsregistret eller hur gamla utdrag som kan användas vid kreditgivningen. Konsumentombudsmannen och Finansinspektionen övervakar användningen av utdrag ur kreditupplysningsregistret vid bedömningen av kreditvärdigheten i enlighet med konsumentskyddslagen. Dataombudsmannen övervakar lagenligheten vid behandlingen av personuppgifter.

Mer information om användningen av och användningsändamålet för uppgifterna i utdraget ur kreditupplysningsregistret:

Konsumentskyddslagen (38/1978) (finlex.fi)
Kreditinstitutslagen (610/2014) (finlex.fi)
Konsumentombudsmannens riktlinje om tillhandahållandet av konsumentkrediter (kkv.fi)
Finansinspektionens föreskrifter och anvisningar 4/2018: Hantering av kreditrisker och bedömning av kreditvärdigheten i företag under tillsyn inom finanssektorn (finanssivalvonta.fi)

3.2.2 Kreditgivarnas rätt att få uppgifter

Uppgifter kan lämnas ut till följande aktörer i enlighet med 21 § i lagen om ett positivt kreditupplysningsregister:

A.

En näringsidkare som är ett auktoriserat tillsynsobjekt, ett tillsynsobjekt som jämställs med ett auktoriserat tillsynsobjekt eller ett övrigt tillsynsobjekt enligt 4 § i lagen om Finansinspektionen.

En kreditgivare eller förmedlare av person-till-person-lån som har antecknats i registret över kreditgivare och förmedlare av person-till-person-lån.

En i Finland etablerad filial till ett utländskt EES-tillsynsobjekt som avses i 4 § 5 mom. i lagen om Finansinspektionen. Filialen kan vara antingen en filial till en EES-stats kreditinstitut eller en filial till ett tredjelands kreditinstitut, vilken är etablerad i en EES-stat.

Ett utländskt tillsynsobjekt som tillhandahåller tjänster i Finland utan att etablera filial, som avses i 4 § 5 mom. i lagen om Finansinspektionen. Tillhandahållandet av tjänster utan att etablera en filial är möjligt endast för sådana EES-tillsynsobjekt som har koncession i en annan EES-stat.

Dessa aktörer kan ha rätt att få uppgifter i följande situationer:

• För att bedöma en konsuments kreditvärdighet i en situation där näringsidkaren med stöd av konsumentskyddslagen har en skyldighet att bedöma konsumentens kreditvärdighet före kreditavtalet ingås eller efter att kreditavtalet har ingåtts om kreditbeloppet eller kreditgränsen höjs på ett betydande sätt.
• För att kontrollera att informationen om konsumenten är aktuell i en situation där näringsidkaren med stöd av konsumentskyddslagen har en skyldighet att kontrollera att informationen om konsumenten är aktuell, när konsumenten och kreditgivaren efter att kreditavtalet har ingåtts kommer överens om att kreditbeloppet eller kreditgränsen höjs.
• För att bedöma en konsuments kreditvärdighet i en situation där konsumenten ansöker om en annan ändring i kreditens villkor än en höjning av kreditbeloppet eller kreditgränsen och ändringen förutsätter att konsumentens kreditvärdighet bedöms.
• För att ställa eller godkänna en borgen eller tredjemanspant, om borgen eller pant ställs som säkerhet för betalning av en konsumentkredit som ska registreras i registret.

Dessa aktörer kan från och med den 1 april 2026 också ha rätt att få uppgifter i följande situationer:

• För att bedöma gäldenärens kreditvärdighet för ingående av ett kreditavtal eller för höjning av kreditbeloppet eller kreditgränsen om det handlar om en kredit som beviljas till en annan fysisk person än en konsument. Träder i kraft 1.4.2026.
• För att bedöma gäldenärens kreditvärdighet när denne ansöker om någon annan ändring i villkoren än en höjning av kreditbeloppet eller kreditgränsen, när det handlar om en kredit som beviljas till en annan fysisk person än en konsument och ändringen förutsätter en bedömning av gäldenärens kreditvärdighet. För att ställa eller godkänna en borgen eller tredjemanspant om borgen eller pant ställs som säkerhet för betalning av en kredit som beviljas till en annan fysisk person än en konsument och som registreras i registret. Träder i kraft 1.4.2026.

B.

En annan näringsidkare än en sådan som nämnts i punkt A, som i syfte att få inkomst eller annan ekonomisk nytta yrkesmässigt beviljar kredit till andra fysiska personer än konsumenter, utom när näringsidkaren beviljar kredit i Finland endast sporadiskt eller endast för att finansiera anskaffning av de varor eller tjänster som näringsidkaren tillhandahåller.

Specialfinansieringsbolaget Finnvera, som avses i lagen om statens specialfinansieringsbolag (443/1998).

Dessa aktörer kan från och med den 1 april 2026 ha rätt att få uppgifter i följande situationer:

• För att bedöma gäldenärens kreditvärdighet för ingående av ett kreditavtal eller för höjning av kreditbeloppet eller kreditgränsen om det handlar om en kredit som beviljas till en annan fysisk person än en konsument. Träder i kraft 1.4.2026.
• För att bedöma gäldenärens kreditvärdighet när denne ansöker om någon annan ändring i villkoren än en höjning av kreditbeloppet eller kreditgränsen om det handlar om en kredit som beviljas till en annan fysisk person än en konsument. Träder i kraft 1.4.2026.
• För att ställa eller godkänna en borgen eller tredjemanspantsättning om borgen eller pant ställs som säkerhet för betalning av en kredit som beviljas till en annan fysisk person än en konsument och som registreras i registret. Träder i kraft 1.4.2026.

C.

Andra än de i punkterna A och B ovan nämnda kreditgivarna kan ha rätt att få uppgifter i följande situationer:

• För att bedöma en konsuments kreditvärdighet i en situation där näringsidkaren med stöd av konsumentskyddslagen har en skyldighet att bedöma konsumentens kreditvärdighet före kreditavtalet ingås eller efter att kreditavtalet har ingåtts om kreditbeloppet eller kreditgränsen höjs på ett betydande sätt.
• För att kontrollera att informationen om konsumenten är aktuell i en situation där näringsidkaren med stöd av konsumentskyddslagen har en skyldighet att kontrollera att informationen om konsumenten är aktuell, när konsumenten och kreditgivaren efter att kreditavtalet har ingåtts kommer överens om att kreditbeloppet eller kreditgränsen höjs.

3.2.3 Användningsändamål för utdraget ur kreditupplysningsregistret

När en kreditgivare gör en förfrågan till kreditupplysningsregistret för att få ett utdrag ur kreditupplysningsregistret ska kreditgivaren anmäla användningsändamålet för utdraget. Det anmälda användningsändamålet ska motsvara utdragets verkliga användningsändamål och dataanvändningstillståndet som beviljats till kreditgivaren. Kreditgivaren ska i förfrågan anmäla alla de användningsändamål för utdraget för vilka det utdrag ur kreditupplysningsregistret som utlämnats om personen är avsett att användas. Tillåtna användningsändamål är

• nytt konsumentkreditavtal
• höjning av beloppet eller kreditgränsen för en konsumentkredit
• ändring av villkoren för en konsumentkredit
• borgen eller tredjemanspant för en konsumentkredit
• nytt kreditavtal för annan person än en konsument (från och med den 1 april 2026)
• höjning av kreditbeloppet eller kreditgränsen för en kredit som beviljats annan person än en konsument (från och med den 1 april 2026)
• ändring av kreditvillkoren för en kredit som beviljats annan person än en konsument (från och med den 1 april 2026)
• borgen eller tredjemanspant för en kredit som beviljats annan person än en konsument (från och med den 1 april 2026).

De fyra första användningsändamålen gäller konsumentkrediter och med konsumentkrediter jämställda krediter. De fyra senare användningsändamålen gäller krediter som beviljats till andra fysiska personer än konsumenter och de tas i bruk den 1 april 2026.

Ett nytt konsumentkreditavtal anmäls som användningsändamål för utdraget ur kreditupplysningsregistret när en kreditgivare är skyldig att bedöma en konsuments kreditvärdighet innan kreditgivaren ingår ett nytt kreditavtal med konsumenten.

En höjning av beloppet eller kreditgränsen för en konsumentkredit anmäls som användningsändamål för utdraget ur kreditupplysningsregistret när kreditbeloppet eller kreditgränsen höjs i förhållande till det ursprungliga kreditbeloppet, varvid kreditgivaren har ett behov att bedöma konsumentens kreditvärdighet på nytt eller försäkra sig om att konsumentens uppgifter är aktuella.

Ändring av villkoren för en konsumentkredit anmäls som användningsändamål för utdraget ur kreditupplysningsregistret när gäldenären ansöker om sådana ändringar i konsumentkreditens villkor som inte gäller en höjning av kreditbeloppet eller kreditgränsen men som förutsätter en bedömning av gäldenärens kreditvärdighet. Sådana ändringar är till exempel amorteringsfria perioder, en förlängning av kreditperioden, en ändring av betalningsposterna och andra motsvarande ändringar av betalningsprogrammet, en ändring av säkerheten för krediten samt en ändring av kreditens referensränta, räntetyp eller marginalränta.

Ändringen av kreditens villkor ska ha betydelse för bedömningen av konsumentens förmåga att sköta krediten. Kreditgivaren har inte rätt att använda uppgifterna i det positiva kreditupplysningsregistret när ändringen är oväsentlig eller ringa med tanke på gäldenärens förmåga att sköta krediten, till exempel om förfallodagen för den regelbundna betalningsposten ändras. En förutsättning är dessutom att gäldenären själv ansöker om ändringar i uppgifterna för sin kredit. Sålunda får kreditgivaren inte använda uppgifterna i det positiva kreditupplysningsregistret på eget initiativ utan att gäldenären meddelat kreditgivaren att hen avser ansöka om ändring i kreditavtalet.

Borgen eller tredjemanspant för en konsumentkredit anmäls som användningsändamål för utdraget ur kreditupplysningsregistret när det handlar om ställande eller godkännande av en sådan borgen eller tredjemanspant som ställs som säkerhet för betalning av en konsumentkredit som sparas i registret. Kreditgivaren kan sålunda använda uppgifterna om borgensmannen och tredjemanspantsättaren i utdraget ur kreditupplysningsregistret när kreditgivaren bedömer den föreslagna säkerhetens godtagbarhet och borgensmannens ställning. Kreditgivaren får inte använda uppgifterna i utdraget ur kreditupplysningsregistret för detta användningsändamål om borgen eller tredjemanspant ges som säkerhet för en kredit som beviljas till någon annan än en konsument.

Nytt kreditavtal för annan person än en konsument anmäls som användningsändamål för utdraget ur kreditupplysningsregistret när kundens kreditvärdighet bedöms innan kreditgivaren ingår ett nytt kreditavtal med en gäldenär och avtalet gäller en annan kredit än en konsumentkredit. Detta kan anmälas som användningsändamål från och med den 1 april 2026.

Höjning av kreditbeloppet eller kreditgränsen för en kredit som beviljats annan person än en konsument anmäls som användningsändamål för utdraget ur kreditupplysningsregistret när kreditbeloppet eller kreditgränsen för en annan kredit än en konsumentkredit höjs så att kreditgivaren har ett behov att bedöma gäldenärens betalningsförmåga på nytt. Detta kan anmälas som användningsändamål från och med den 1 april 2026

Ändring av kreditvillkoren för en kredit som beviljats annan person än en konsument anmäls som användningsändamål för utdraget ur kreditupplysningsregistret när gäldenären ansöker om sådana ändringar i kreditens villkor som inte gäller en höjning av kreditbeloppet eller kreditgränsen men som förutsätter en bedömning av gäldenärens kreditvärdighet. Sådana ändringar är till exempel amorteringsfria perioder, en förlängning av kreditperioden, en ändring av betalningsposterna och andra motsvarande ändringar av betalningsprogrammet, en ändring av säkerheten för krediten samt en ändring av kreditens referensränta, räntetyp eller marginalränta.

Ändringen av kreditens villkor ska ha betydelse för bedömningen av gäldenärens förmåga att sköta krediten. Kreditgivaren har inte rätt att använda uppgifterna i det positiva kreditupplysningsregistret när ändringen är oväsentlig eller ringa med tanke på gäldenärens förmåga att sköta krediten, till exempel om förfallodagen för den regelbundna betalningsposten ändras. En förutsättning är dessutom att gäldenären själv ansöker om ändringar i uppgifterna för sin kredit. Sålunda får kreditgivaren inte använda uppgifterna i det positiva kreditupplysningsregistret på eget initiativ utan att gäldenären meddelat kreditgivaren att hen avser ansöka om ändring i kreditavtalet. Detta kan anmälas som användningsändamål från och med den 1 april 2026

Borgen eller tredjemanspant för en kredit som beviljats annan person än en konsument anmäls som användningsändamål för utdraget ur kreditupplysningsregistret när det handlar om ställande eller godkännande av en sådan borgen eller tredjemanspant som ställs som säkerhet för betalning av en annan kredit än en konsumentkredit som sparas i registret. Kreditgivaren får sålunda använda uppgifterna om borgensmannen och tredjemanspantsättaren i utdraget ur kreditupplysningsregistret när kreditgivaren bedömer om den föreslagna säkerheten eller borgensmannen kan godkännas. Kreditgivaren får inte använda uppgifterna i utdraget ur kreditupplysningsregistret om borgen eller tredjemanspant ges som säkerhet för en kredit som beviljas till en annan part än en fysisk person, till exempel ett lån till ett aktiebolag. Om en borgen eller tredjemanspant ställs som säkerhet för betalning av en konsumentkredit som sparas i registret ska användningsändamålet ”Borgen eller tredjemanspant för en konsumentkredit” användas. Detta kan anmälas som användningsändamål från och med den 1 april 2026.

3.2.4 Övriga tillåtna användningsändamål för utdraget ur kreditupplysningsregistret

Uppgifter som fåtts ur det positiva kreditupplysningsregistret får inte användas till något annat ändamål än det användningsändamål för vilket uppgifterna har lämnats ut ur registret. Som ett undantag till detta får uppgifter som redan tidigare har lämnats ut från registret ändå användas även för följande ändamål:

• Utlämnande av uppgifter till Statskontoret

Kreditgivaren får lämna ut uppgifter ur det positiva kreditupplysningsregistret till statskontoret i samband med ansökan om ersättning enligt lagen om statsborgen för ägarbostadslån (204/1996). I stället för ovan nämnda lag tillämpas från och med den 1 juni 2026 lagen om systemet för bostadssparande (339/2025) och lagen om statsborgen för bostadslån (340/2025). (21 § 3 mom. i lagen om ett positivt kreditupplysningsregister)

• Utlämnande av uppgifter till borgensman eller tredjemanspantsättare

Kreditgivaren får lämna ut uppgifter som fåtts från det positiva kreditupplysningsregistret till borgensmannen eller pantsättaren, om det handlar om uppfyllande av informationsplikten enligt 12 och 14 § i lagen om borgen och tredjemanspant (361/1999, nedan lagen om borgen) eller om personen har gett sitt samtycke till att uppgifterna lämnas ut till borgensmannen eller pantsättaren.

Enligt 12 § i lagen om borgen ska kreditgivaren innan borgen ställs till borgensmannen meddela sådana omständigheter i anslutning till huvudskulden som är föremål för borgen som på ett väsentligt sätt inverkar på borgensmannens ställning samt gäldenärens utfästelser och andra omständigheter i anslutning till dennes betalningsförmåga som kan antas ha betydelse för borgensmannen.

Utifrån 14 § i lagen om borgen har en borgensman rätt att under giltighetstiden för borgen begära information av kreditgivaren om gäldenärens utfästelser och andra omständigheter i anslutning till dennes betalningsförmåga vilka kan antas ha betydelse för borgensmannen. Kreditgivaren kan sålunda på borgensmannens begäran även utlämna uppgifter som fåtts ur det positiva kreditupplysningsregistret. Informationsplikten enligt 14 § i lagen om borgen gäller dock endast sådana omständigheter som kreditgivaren känner till och som borgensmannen kan upplysas om utan särskilda utredningar.

Borgensmannen kan av kreditgivaren endast begära sådana uppgifter ur det positiva kreditupplysningsregistret som kreditgivaren har rätt att få ur registret. Kreditgivaren kan till borgensmannen utlämna sådana uppgifter som kreditgivaren har inhämtat från registret under kreditförhållandet i situationer då krediten beviljas eller kreditavtalet ändras. Kreditgivaren har inte rätt att särskilt inhämta uppgifter ur det positiva kreditupplysningsregistret på borgensmannens begäran, eftersom det i lagen inte föreskrivs om ett sådant användningsändamål.

Enligt 41 § i lagen om borgen tillämpas ovan konstaterade informationsplikt för kreditgivaren också på tredjemanspantsättare, och sålunda har kreditgivarna motsvarande skyldigheter också gentemot tredjemanspantsättare.

• Fullföljande av förpliktelser i anknytning till hantering av kreditrisker

Kreditgivaren kan använda uppgifter om sin kund som kreditgivaren har fått ur det positiva kreditupplysningsregistret för bedömning av kreditvärdigheten för att uppfylla vissa förpliktelser. Dessa förpliktelser är lagstadgade och de anknyter till hanteringen av kreditrisker. Användningen av sådana uppgifter gäller dock endast sådana kreditgivare som omfattas av annanstans i lag särskilt föreskrivna förpliktelser i samband med hanteringen av kreditrisker.

Mer information om övriga användningsändamål

Lagen om statsborgen för ägarbostadslån (204/1996) (finlex.fi)
Lagen om systemet för bostadssparande (339/2025) (finlex.fi) Gäller fr.o.m. 1.6.2026.
Lagen om statsborgen för bostadslån (340/2025) (finlex.fi) Gäller fr.o.m. 1.6.2026.
Lagen om borgen och tredjemanspant (361/1999) (finlex.fi)

3.2.5 Kreditgivarens identifierings- och informationsskyldigheter

En kreditgivare som använder uppgifter ur det positiva kreditupplysningsregistret ska identifiera personen i fråga och vid behov verifiera dennes identitet innan en förfrågan av uppgifter görs.

En kreditgivare som använder uppgifter ur det positiva kreditupplysningsregistret ska se till att fysiska personer på förhand kan få information om användningen av sina uppgifter och ur vilket register uppgifterna inhämtas.

Om kreditgivaren förkastar en kreditansökan som en kreditsökande har gjort utifrån uppgifter ur det positiva kreditupplysningsregistret, ska kreditgivaren omedelbart efter beslutet underrätta den kreditsökande om en sådan användning av kreditupplysningar och om vilket register uppgifterna härstammar från.

3.2.6 Avgifter för utlämnande av uppgifter

En avgift tas ut för utlämnandet av ett utdrag ur kreditupplysningsregistret till kreditgivarna. Avgiften baserar sig på lagen om grunderna för avgifter till staten (150/1992) och på förordningen om grunderna för avgifter till staten (211/1992) samt på finansministeriets förordning om avgiftsbelagda prestationer som gäller det positiva kreditupplysningsregistret. Kostnaden för ett utdrag ur kreditupplysningsregistret fastställs utifrån finansministeriets förordning som är i kraft vid tidpunkten då utdraget utlämnas. Förordningen är i kraft en viss tid och den förnyas årligen.

3.3 Myndigheter

Uppgifter kan utlämnas ur det positiva kreditupplysningsregistret till följande myndigheter för deras lagstadgade uppgifter: Finlands Bank, Verket för finansiell stabilitet, Finansinspektionen, konsumentombudsmannen, Konkurrens- och konsumentverket samt Statistikcentralen. Myndigheterna använder uppgifterna bland annat för tillsyn och uppföljning av kreditmarknaderna och stabiliteten på finansmarknaderna, som stöd för beslutsfattande samt för statistikföring.

Informationsinnehållet som utlämnas från registret till myndigheterna avviker från uppgifterna i utdraget ur kreditupplysningsregistret som utlämnas till kreditgivare. Uppgifterna som utlämnas ur det positiva kreditupplysningsregistret till myndigheter har specificerats i enlighet med varje myndighets behov och användningsändamål så att endast sådana uppgifter utlämnas som är nödvändiga för att myndigheten i fråga kan sköta sina lagstadgade uppgifter.

Ingen avgift tas ut av myndigheter för utlämnandet av uppgifterna.

3.4 Uppgiften om ett frivilligt kreditförbud till kreditupplysningsföretag

Uppgiften om ett frivilligt kreditförbud som personen har gjort kan utlämnas från registret till kreditupplysningsföretag. En fysisk person kan sätta upp ett frivilligt kreditförbud för sig själv i det positiva kreditupplysningsregistrets e-tjänst. Kreditförbudet kan gälla för en viss tid eller tills vidare. Personen måste också välja en orsak till kreditförbudet. Alternativen är risk för identitetsstöld, hantering av egen ekonomi och annan orsak. Om den kreditsökande har ett frivilligt kreditförbud får kreditgivaren information om detta och kan förhålla sig med särskild försiktighet och omsorg till kreditgivningen.

Personen kan ge ett frivilligt och uttryckligt samtycke till att uppgiften om det frivilliga kreditförbudet som hen har meddelat kan utlämnas vidare till kreditupplysningsföretagen. När en person ger sitt samtycke kan uppgiften om kreditförbudet utlämnas till alla aktörer som bedriver kreditupplysningsverksamhet. Det finns för tillfället två företag i Finland som bedriver kreditupplysningsverksamhet och hanterar personers kreditupplysningar: Dun & Bradstreet Finland Oy och Suomen Asiakastieto Oy. I det positiva kreditupplysningsregistret kallas dessa företag ”kreditupplysningsföretag”.

Uppgiften om ett frivilligt kreditförbud förmedlas sålunda inte automatiskt från det positiva kreditupplysningsregistret till de kreditupplysningsregister som avses i kreditupplysningslagen, utan utlämnandet av uppgiften förutsätter alltid en aktiv åtgärd av den fysiska personen. Personen kan återta sitt samtycke när som helst. Kreditupplysningsföretagen kan spara uppgiften i det register som avses i kreditupplysningslagen (527/2007) samt utlämna uppgiften vidare för ändamål som specificerats i 19 § i kreditupplysningslagen. Sådana användningsändamål är till exempel utlåning av egendom, uthyrning av bostad, förfrågan om gäldenärens betalningsbeteende, förfrågan för indrivning, anställning och företagsbedömning.

Ingen avgift tas ut av kreditupplysningsföretag för utlämnandet av uppgifterna.

Mer information om kreditupplysningsföretag:

Kreditupplysningslagen (527/2007) (finlex.fi)
Dun & Bradstreet Finland Oy (dnb.com)
Suomen Asiakastieto Oy (asiakastieto.fi)

4 Uppgifterna i utdraget ur kreditupllysningsregistret

Ur det positiva kreditupplysningsregistret utlämnas det till kreditgivarna uppgifter enligt vad det fastställs om kreditupplysningsrapporten i 22 § i lagen om ett positivt kreditupplysningsregister. Det positiva kreditupplysningsregistret använder termen ”utdrag ur kreditupplysningsregistret” för den kreditupplysningsrapport som avses i lagen.

Ett utdrag ur kreditupplysningsregistret är en sammanfattning av de uppgifter om personen som sparats i det positiva kreditupplysningsregistret. Uppgifterna som levereras via utdraget har specificerats i 22 § i lagen om ett positivt kreditupplysningsregister och räknas upp i detta kapitel. Det är inte möjligt att ha andra än i lagen fastställda uppgifter på utdraget. Inga uppgifter om avslutade krediter syns på utdraget. I utdraget ur kreditupplysningsregistret finns inte heller historieuppgifter om transaktioner som anknyter till en gällande kredit, såsom uppgifter om använda amorteringsfria perioder eller eventuella tidigare betalningsdröjsmål eller skuldsaneringar för privatpersoner som hänför sig till krediten. Informationsinnehållet i utdraget är det samma för alla kreditgivare som har rätt att få uppgifter från registret. I utdraget levereras de uppgifter som senast har anmälts om personens krediter till registret.

I utdraget ur kreditupplysningsregistret finns uppgifter om personens krediter och inkomster samt uppgiften om ett frivilligt kreditförbud. Inkomstuppgifterna är uppgifter om löner, pensioner och förmåner som betalats till en person. De indelas i löne- och förmånsuppgifter på utdraget. Inkomstuppgifterna visas som månadsinkomster för de senaste fulla 12 månaderna. Inkomstuppgifterna kommer från inkomstregistret och dit anmäls endast en del av alla möjliga inkomster som en fysisk person kan ha. Därför ska man för inkomstuppgifternas del beakta att uppgifterna i inkomstregistret inte innehåller uppgifter om till exempel privata uttag för firmaföretagare eller kapitalinkomster. Ytterligare information om hur inkomstuppgifterna som ingår i utdraget bildas finns i kapitel 4.2 i denna anvisning.

Enligt artikel 18.1 a i den allmänna dataskyddsförordningen kan den registrerade kräva att behandlingen av uppgifter som gäller hen kan begränsas om hen bestrider uppgifternas korrekthet. Trots kravet på begränsad behandling kan uppgifterna lämnas ut på utdraget ur kreditupplysningsregistret och till de myndigheter som nämns i 24 § i lagen om ett positivt kreditupplysningsregister. En anteckning om kravet på begränsad behandling visas på utdraget ur kreditupplysningsregistret. Anteckningen ger kreditgivaren information om att det är skäl att till vissa delar mer noggrant än normalt kontrollera uppgifterna i utdraget genom att utnyttja övriga källor, såsom genom att fråga om saken av den person vars utdrag ur kreditupplysningsregistret det handlar om. Anteckningen finns kvar tills Inkomstregisterenheten har försäkrat sig om korrektheten i uppgifterna.

4.1 Är uppgifterna aktuella?

Uppgifterna i utdraget ur kreditupplysningsregistret motsvarar inte nödvändigtvis helt i realtid personens faktiska kredit- eller inkomstuppgifter. Detta beror på att uppgifterna både i det positiva kreditupplysningsregistret och i inkomstregistret syns med viss fördröjning. Fördröjningen beror på tidsfristerna för anmälan, vilka fastställts i lag.

Uppgifterna om krediterna anmäls till registret enligt följande tidsfrister:

• uppgifterna om nya kreditavtal senast den kalenderdag som följer på den dag då kreditavtalet ingicks
• kreditens transaktioner och ändringar i uppgifterna om krediten inom två vardagar.
  • Sådana uppgifter är till exempel amorteringar på krediten, betalningsdröjsmål som anknyter till krediten och avslutandet av krediten.

Inkomstuppgifterna hämtas från inkomstregistret till utdraget ur kreditupplysningsregistret. Betalare ska anmäla uppgifter om utbetalda löner och förmåner till inkomstregistret inom fem kalenderdagar från betalningsdagen. Ett undantag till detta är till exempel betalare som i stället för att använda elektroniska anmälningskanaler lämnar uppgifter på en pappersblankett. För dessa är tidsfristen för anmälan åtta kalenderdagar från betalningsdagen i stället för fem.

4.2 Innehållet i utdraget ur kreditupplysningsregistret

Identifikationsuppgifter

• personbeteckning för den person vars uppgifter samlats på utdraget
• identifierare för den organisation som beställt utdraget.

Frivilligt kreditförbud

• Om personen har ett giltigt frivilligt kreditförbud innehåller utdraget uppgiften om kreditförbudet samt orsaken till förbudet.

Sammandrag av kreditupplysningar

• antalet kreditgivare och förmedlare av person-till-person-lån som beviljat eller förmedlat krediter till personen
• antalet krediter som personen har
• den totala summan av de prestationer som senast betalats på krediterna separat för varje valuta (i summan räknas amorteringen, räntan eller kostnaderna som senast betalats för varje kredit)
• den totala summan av månadsavgifterna för leasingavtalen separat för varje valuta (inklusive räntor och kostnader)
• antalet krediter där personen är borgensman.

Uppgifter om krediten

• typ av kredit: engångskredit, fortlöpande kredit, borgensfordran på studielån eller leasing
• datum för ingående av kreditavtalet
• antalet gäldenärer
• kreditens valuta
• uppgift om huruvida det ställts en säkerhet för krediten samt typen av säkerhet
  • bostadsegendom, annan fast egendom, objekt för avbetalningsfinansiering, annan lös egendom, annan säkerhet, personborgen, statsborgen eller annan borgen
• start- och slutdatum för pågående och framtida amorteringsfria perioder
• förfallodagar för betalningsposter som försenats med minst 60 dagar och belopp för obetalda betalningsposter
• uppgift om uppsägning av krediten
• uppgift om att kredittagaren har bestridit korrektheten i kreditens uppgifter
• uppgift om att kredittagarens kredit omfattas av ett betalningsprogram för skuldsanering
• uppgift om att kredittagarens kredit omfattas av ett företagssaneringsprogram
• följande uppgifter om krediten har beviljats för näringsverksamhet och ett FO-nummer har anmälts för krediten:
  
  • kredittagarens FO-nummer
  • kredittagarens firmanamn
• följande uppgifter om typen av kredit är leasing:
  
  • datum då leasingavtalet börjar, om datumet avviker från den dag då kreditavtalet ingås
  • slutlig köpesumma, om avtalet förutsätter inlösen
• följande uppgifter om typen av kredit är engångskredit eller borgensfordran på studielån:
  
  • kreditens användningsändamål
    
    • bostadslån, bostadslån för första bostad, bostadslån för fritidsbostad, bostadslån för placeringsbostad, studielån, konsumentkredit för anskaffning av trafikmedel, annan konsumentkredit, annan kredit, kredit för näringsverksamhet eller borgensfordran på studielån.
  • betalningsprogrammets sista förfallodag
  • beviljat och lyft kreditbelopp
  • kreditens saldo
  • amorteringsintervall (uppgiften anges i månader, till exempel 1, 3 eller 6)
  • amorteringssätt, om krediten betalas i en post (bullet) eller om den sista betalningsposten för krediten är betydligt större än den regelbundna betalningsposten (balloon)
• följande uppgifter om typen av kredit är fortlöpande kredit:
  
  • kreditlimit
  • kreditbeloppet som använts och värderingsdag då kreditbeloppet som använts har kontrollerats.

Om krediten ingår i ett betalningsprogram för skuldsanering eller i ett företagssaneringsprogram inverkar detta på hur uppgifter visas på utdraget ur kreditupplysningsregistret. I sammandraget beaktas antalet krediter, kreditgivare och krediter som man gått i borgen för, men amorteringarna räknas inte med i summan över senast betalda prestationer. Kreditens övriga uppgifter visas inte på utdraget ur kreditupplysningsregistret. Mindre omfattande uppgifter visas på utdraget också om krediten har flera medgäldenärer och någon av dessa omfattas av ett betalningsprogram för skuldsanering eller ett företagssaneringsprogram.

Om kredittagaren har bestridit korrektheten i uppgifterna om krediten finns det en anteckning om detta i uppgifterna om krediten.

Inkomstuppgifter

• I utdraget ur kreditupplysningsregistret visas personens inkomstuppgifter som anmälts till Inkomstregistret för de senaste 12 kalendermånaderna.
  • Uppgifterna visas endast för hela kalendermånader. Sålunda syns inte uppgifterna för innevarande månad på utdraget.
• Endast sådana inkomster vars uppgifter anmälts till inkomstregistret kan visas i inkomstuppgifterna.
  • Till inkomstregistret anmäls till exempel inte en firmaföretagares inkomster, bidrag eller största delen av kapitalinkomsterna och inte heller en företagares arbetsinkomster om företagaren är försäkrad enligt lagen om pension för företagare eller lagen om pension för lantbruksföretagare.
  • Om personen inte har sådana inkomster som anmäls till inkomstregistret visas en månadsinkomst på 0 euro på utdraget ur kreditupplysningsregistret.
  • Se närmare på inkomstregistrets webbplats vilka inkomstuppgifter och förmånsuppgifter betalarna ska anmäla till inkomstregistret.
• Inkomsterna fördelas i utdraget ur kreditupplysningsregistret för varje månad i löner och förmåner och vidare i brutto- och nettoinkomster. Betalaren av löner eller förmåner visas inte.
  
  • Till lönerna räknas alla inkomstslag som anmäls till inkomstregistret förutom skattefria kilometerersättningar, måltidsersättningar och dagtraktamenten.
  • Till förmånerna räknas nästan alla förmåner som anmäls till inkomstregistret. Förmånstypen specificeras inte utan alla förmåner visas som ett totalbelopp.

Läs mer: Beräkning av inkomstuppgifter (xlsx)

Om en person har lagts till krediten som kredittagare efter att krediten har anmälts till registret inverkar detta på hur uppgifterna visas på utdraget ur kreditupplysningsregistret: på registerutdraget visas endast de uppgifter om krediten som har gällt medan personen har varit part till krediten.

Följande uppgifter visas inte alls på utdraget:

• amorteringsfria perioder som inte längre är i kraft eller som avslutas samma dag som personen läggs till som part till krediten
• startdatum för amorteringsfri period om personen har lagts till som part till krediten först efter att den amorteringsfria perioden har börjat
• datum för ingående av kreditavtalet om personen har lagts till som part till krediten först efter att kreditavtalet har ingåtts
• beviljat och lyft kreditbelopp om dessa inte har ändrats då personen har lagts till som part till krediten eller efter detta
• använt belopp av och värderingsdag för en fortlöpande kredit om dessa inte har ändrats då personen har lagts till som part till krediten eller efter detta
• leasingavtalets startdatum om personen har lagts till som part till krediten först efter detta datum.

Betalningstransaktioner räknas inte heller med i summan av prestationer som personen senast har betalat för krediterna om betalningstransaktionernas betalningsdag är tidigare eller lika med den tidpunkt då personen har lagts till som part till krediten.

Om personen inte har aktiva krediter, det vill säga krediter som har anmälts till det positiva kreditupplysningsregistret och som inte har anmälts som avslutade, är antalet krediter och antalet kreditgivare som har beviljat lån 0 för denna person. Dessutom visas det på utdraget antalet krediter som personen har gått i borgen för, personens inkomstuppgifter samt en uppgift om ett eventuellt frivilligt kreditförbud.

Om personen har avlidit får den kreditgivare som har begärt utdraget ur kreditupplysningsregistret som svar endast information om att personen har avlidit, samt dödsdagen.

5 Uppgiftsanvändarens ansvar

5.1 Behandling av sekretessbelagda personuppgifter

Den som använder uppgifterna är personuppgiftsansvarig för de uppgifter som denne fått ur det positiva kreditupplysningsregistret och ska se till att personuppgifterna som denne tar emot behandlas på ett lagenligt sätt.

Uppgifter som lämnas ut ur det positiva kreditupplysningsregistret är personuppgifter och bestämmelserna i den allmänna dataskyddsförordningen och dataskyddslagen (1050/2018) ska följas vid behandlingen av dem.

Enligt 23 a § i lagen om ett positivt kreditupplysningsregister ska den som använder uppgifter som gäller en fysisk person identifiera personen i fråga och vid behov verifiera personens identitet innan uppgifterna inhämtas.

Användaren av uppgifter ska med användning av lämpliga tekniska eller organisatoriska åtgärder säkerställa säkerheten för uppgifterna som lämnas ut från det positiva kreditupplysningsregistret, inbegripet skydd av uppgifterna mot obehörig eller lagstridig behandling. Personuppgifterna får inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för att förverkliga de ändamål för vilka personuppgifterna behandlas (artikel 5 i den allmänna dataskyddsförordningen). De överlämnade uppgifterna måste också förstöras på ett informationssäkert sätt när de inte längre behövs för sitt användningsändamål.

Den som använder uppgifterna ska även värna om sekretessen för de uppgifter som denne tagit emot på ett ändamålsenligt sätt. Sekretessbelagda uppgifter omfattas av tystnadsplikt. (22 och 23 § i lagen om offentlighet i myndigheternas verksamhet (621/1999).) Den som använder uppgifterna får varken röja de sekretessbelagda uppgifterna som har fåtts ur det positiva kreditupplysningsregistret eller använda dem till sin egen eller någon annans fördel eller till någon annans nackdel. Sekretessbelagda uppgifter som har lämnats ut ur det positiva kreditupplysningsregistret får användas och behandlas endast för det ändamål för vilket de har lämnats ut, om inte annat bestäms i lag. Sekretessbelagda uppgifter som fåtts ur det positiva kreditupplysningsregistret får inte utlämnas vidare utan lagstadgad grund. Mer information om sekretessbelagda uppgifter finns i kapitel 2.1.

5.2 Användning av personuppgiftsbiträden

Med personuppgiftsbiträden avses personuppgiftsbiträden enligt EU:s allmänna dataskyddsförordning. Personuppgiftsbiträdet är en person eller organisation som behandlar personuppgifter för uppgiftsanvändarens (den personuppgiftsansvariges) räkning. Med ett personuppgiftsbiträde avses dock inte arbetstagare som arbetar för den som använder uppgifterna och som behandlar personuppgifter som en del av sina arbetsuppgifter. Läs mer om personuppgiftsbiträden på webbplatsen för dataombudsmannens byrå (tietosuoja.fi).

För att behandlingen av personuppgifter ska uppfylla kraven i den allmänna dataskyddsförordningen får den som använder uppgifterna för behandlingen av personuppgifter endast använda sådana personuppgiftsbiträden, som ger tillräckliga garantier om att behövliga tekniska och organisationsrelaterade åtgärder förverkligas. Den som använder uppgifterna ansvarar även för verksamheten för de personuppgiftsbiträden som agerar för kreditgivarens räkning och för att behandlingen är lagenlig.
Den som använder uppgifterna och personuppgiftsbiträdet måste göra upp ett sådant avtal eller en annan sådan rättsakt om behandlingen som avses i Artikel 28 i EU:s allmänna dataskyddsförordning. Ytterligare information om personuppgiftsbiträden och innehållet i avtalet om databehandling finns på webbplatsen för dataombudsmannens byrå (tietosuoja.fi) och på Europeiska dataskyddsstyrelsens webbplats (edpb.europa.eu).

5.3 Säkerställande av datasäkerheten

Den som använder uppgifterna ansvarar för att uppgifterna som har fåtts ur det positiva kreditupplysningsregistret har skyddats på behörigt sätt och att de behandlas på ett informationssäkert sätt. Den som använder uppgifterna ska se till att arbetsstationernas, servrarnas och datanätets informationssäkerhet är uppdaterad, att lokalerna är säkra samt att uppgifternas sekretess är ordnad på ett sådant sätt att det inte är möjligt för personer eller organisationer som inte har behörighet att behandla uppgifter som lämnats ut ur det positiva kreditupplysningsregistret att få tillgång till dessa uppgifter. Även datakommunikationen måste vara krypterad eller skyddad på annat sätt när den innehåller sekretessbelagda uppgifter ur det positiva kreditupplysningsregistret.

Informationssäker åtkomsthantering måste finnas i uppgiftsanvändarens system i vilka det behandlas uppgifter som fåtts ur det positiva kreditupplysningsregistret. De behörigheter till uppgifter som ges till personer som är anställda hos en användare av uppgifter ska fastställas utifrån vilka uppgifter de behöver för att utföra sina arbetsuppgifter. Behörigheterna ska hållas uppdaterade. Den som använder uppgifterna ska använda sig av loggövervakning för att följa upp användningen av uppgifter och för att utreda tekniska fel. Det ska finnas fungerande processer för hanteringen av sårbarheter. Man ska även genom tillräcklig handledning och utbildning för personalen som deltar i behandlingen av uppgifter sörja för den lagenliga behandlingen av uppgifter som fås ur det positiva kreditupplysningsregistret.

Uppgifter ur det positiva kreditupplysningsregistret kan utlämnas endast om det finns en lagstadgad rätt att begära utdraget och om det i uppgiftsanvändarens datasystem säkerställs från fall till fall att den som begär uppgifter behandlar ett sådant ärende för vilket utdraget ur kreditupplysningsregistret behövs.

5.4 Certifikat

Ett certifikat som Skatteförvaltningen beviljat överlämnas till den som använder uppgifterna för att använda gränssnittet för förfrågan om utdrag ur kreditupplysningsregistret. Certifikatet används för identifiering av uppgiftsanvändaren som gör en förfrågan om uppgifter. Ytterligare information om certifikat finns i anvisningen om användning av certifikat.

Med certifikatets nyckelpar avses med varandra anknutna nycklar som används vid kryptering med offentliga nycklar. En av nycklarna är privat och den andra offentlig. Den privata nyckeln är en nyckel som användaren skapar och som endast användaren känner till. Den privata nyckeln får aldrig överlämnas till någon annan, inte heller till Skatteförvaltningen.

Den som använder uppgifterna förbinder sig att förvara certifikatet omsorgsfullt så att certifikatet inte kommer till en sådan parts kännedom som inte har behörighet att använda det. Den som använder uppgifterna ansvarar ända tills certifikatet spärras för alla operationer som utförs med hjälp av gränssnittet, till exempel för beställandet och hämtningen av uppgifter. Den som använder uppgifterna ansvarar för att den som gör en förfrågan om uppgifter via gränssnittet har en lagstadgad rätt att behandla uppgifterna.

Om den privata nyckeln som tillhör den som använder uppgifterna försvinner eller kommer till en utomstående parts kännedom eller om den som använder uppgifterna misstänker att den privata nyckeln för dess certifikat har äventyrats ska denne omedelbart underrätta Skatteförvaltningen om detta (se Stängning av certifikat). På så sätt kan en olovlig användning av gränssnittstjänsten förhindras. Ett certifikat måste också spärras om det inte behövs.

Certifikatet är specifikt för varje aktör och därför kan inte både den som använder uppgifterna och ett eventuellt personuppgiftsbiträde som agerar för uppgiftsanvändarens räkning använda samma certifikat. Man ska alltid beställa ett tilläggscertifikat för den som agerar för en annans räkning. Om certifikatet används av ett personuppgiftsbiträde som agerar för en annans räkning ska den som använder uppgifterna till Inkomstregisterenheten meddela namnet och FO-numret eller ett motsvarande organisationsnummer för personuppgiftsbiträdet. Den som använder uppgifterna ansvarar för att den som innehar certifikatet och den som med certifikatet gör en förfrågan om uppgifter via gränssnittet har en lagstadgad rätt att behandla uppgifterna och rätt att använda certifikatet för gränssnitten.

5.5 Anmälan om förändringar i verksamheten

Den som använder uppgifterna måste till Inkomstregisterenheten meddela om alla sådana ändringar i sin verksamhet som kan inverka på rätten för den som använder uppgifter att få information eller på andra förutsättningar för utlämnandet av uppgifter. Så är det till exempel om användningsändamålet för uppgifterna som har specificerats i Inkomstregisterenhetens beslut om utlämnande av uppgifter ändras eller om det sker andra ändringar i uppgifterna som meddelats i samband med sökandet av tillstånd. Ändringarna kan gälla till exempel naturen av uppgiftsanvändarens verksamhet eller sådant som anknyter till behandlingen av personuppgifter, såsom personuppgiftsbiträdena eller skyddandet av uppgifter.

Den som använder uppgifterna måste också hålla uppgifterna om de i ansökan angivna kontaktpersonerna aktuella.

Inkomstregisterenheten har rätt att vägra att ge ut uppgifter eller rätt att återkalla ett beslut, om de förutsättningar för utlämnande av uppgifter som anges i lagen om ett positivt kreditupplysningsregister eller annanstans i lag inte uppfylls (27 a § 2 mom. i lagen om ett positivt kreditupplysningsregister).