Kvörtun yfir markaðssetningarstarfsemi

Á fundi stjórnar Persónuverndar hinn 17. ágúst 2011 hefur verið fjallað um mál nr. 2011/655 og ákveðið að veita eftirfarandi svar varðandi reglur um andmælarétt gegn notkun persónuupplýsinga í tengslum við markaðssetningarstarfsemi:

Þann 26. maí 2011 barst Persónuvernd afrit af tölvubréfi yðar, K, til Ó, framkvæmdastjóra Markaðs- og miðlarannsókna ehf., vegna símhringingar sem þér fenguð frá starfsmanni félagsins með boð um þátttöku í skoðanakönnun.

Hinn 16. júní 2011 staðfesti Persónuvernd að henni hefði borist umrætt afrit. Var bent á að þér gætuð sent inn kvörtun og yrði málið þá tekið til formlegrar meðferðar. Þér kváðust hins vegar ekki vilja það. Í svari yðar segir:

„Sannast sagna hef ég ekki tíma til að fara að skrifa e-h formlega kvörtun, prenta hana út, skrifa undir og koma með til ykkar. Það á raun ekki að vera hægt að ætlast til þess af mér. Ég ætlast hreinlega til þess að nafn mitt, kt. heimilisfang, símanúmer osfrv. séu bannvara fyrir þriðja aðila nema ég gefi leyfi til annars. Mér finnst það ekki rétt að ég þurfi sjálfur að sjá til þess að upplýsingar um mig séu bannvara. Það er öfug forgangsröðun að fyrirtæki hafi rétt á upplýsingum um mig án þess að til mín sé leitað fyrst. Það á auðvitað að vera í hina áttina þeas ef fyrirtæki vilja komast í samband við mig þá þurfa þau að biðja mig um það en ekki ég að biðja þum að það verði ekki gert. Skilurðu...? Þessvegna ætlast ég til þess að þið breytið öllum ykkar strúktúr í samræmi við þetta því mér finnst þetta í hæsta máta óeðlilegt og algerlega rangt og ekki finnst mér vera mikil persónuvernd falin í því að fyrirtæki hafi opið skotleyfi á persónur nema persónur biðji um annað. Svona svipað einsog skjóta fyrst og spyrja svo. Þið hljótið að vera sammála því.“

Í ljósi framangreinds er málið ekki tekið til úrskurðar heldur er aðeins veitt almennt svar og leiðsögn.

Með bréfi dags. 20. júní 2011 var fyrirspurn beint til ábyrgðaraðila, Markaðs- og miðlarannsókna ehf.. Í svari félagsins, dags. 22. júní 2011, kom m.a. fram að þess hafi verið gætt að hafa ekki samband við einstaklinga sem eru bannmerktir í Þjóðskrá. Þar segir m.a.:

„Í þessu tiltekna tilfelli var um að ræða markaðsrannsókn þar sem aflað var upplýsinga um viðhorf almennings til vörumerkja á neytendamarkaði. Um var að ræða síma og Internet könnun og skýrt var tekið fram að viðkælendum væri hvorki skylt að taka þátt í könnuninni í heild né einstökum hlutum hennar. Viðmælendum var jafnframt gerð grein fyrir því að haft væri samband við þá á grundvelli tilviljunarúrtaks úr Þjóðskrá. Persónugreinanlegar upplýsingar voru ekki geymdar með svörum við könnun í gagnasafni. Í úrvinnslu var tryggt að upplýsingar yrðu ekki raktar til einstaklinga. Í könnuninni var persónuauðkennanlegum upplýsingum ekki safnað. Upplýsingum um þátttöku fólks í könnunum er eytt í lok könnunar. Persónuupplýsingar og tölvupóstföng viðmælenda sem gefa sérstakt leyfi fyrir slíku verða geymd til þátttöku í frekari könnunum sama eðlis sem fara fram á Internetinu. Nafnalisti verður þó aldrei geymdur með svörum. Í vinnslu úrtaksupplýsinga var þess sérstaklega gætt að ekki var haft samband við einstaklinga sem hafa verið bannmerktir í Þjóðskrá.“

Yður var kynnt framangreint með bréfi, dags. 29. júní 2011. Í svari yðar, dags. 21. júlí 2011, segir m.a.:

„Fékk bréf frá þér vegna þess þar sem mér er veittur frestur til að svara því sem að Miðlun og markaðsupplýsingar höfðu svarað. Á ég virkilega að standa í því að vera að svara e-h bréfum frá Miðlun og markaðsupplýsingum í gegnum ykkur...til þess að fá frið frá þeim...??? Hvers konar vitleysa er þetta eiginlega. Vinsamlegast tryggðu það bara að ENGINN megi nota mínar persónuupplýsingar í einum né neinum tilgangi nema ég gefi leyfi fyrir því sérstaklega. Það liggur í orðinu persónuvernd og ætti því ekki að vera svo erfitt að skilja...eða hvað...?“

Um vinnslu persónuupplýsinga í markaðssetningarstarfsemi gildir ákvæði 28. gr. laga nr. 77/2000 um persónuvernd og meðferð persóuupplýsinga. Ákvæðið gerir ráð fyrir sérstökum og ríkum andmælarétti manna að því er varðar vinnslu persónuupplýsinga um þá í tengslum við markaðssetningarstarfsemi. Er þessi réttur ekki takmarkaður við að þeir tilgreini sérstakar ástæður fyrir andmælum sínum. Ákvæðið hljóðar svo:

28. gr. [[Um andmælarétt hins skráða og um bannskrá [Þjóðskrár Íslands].^1)]2)
Hinum skráða er heimilt að andmæla vinnslu upplýsinga um sjálfan sig ef hann hefur til þess lögmætar og knýjandi ástæður vegna sérstakra aðstæðna sinna nema kveðið sé á um annað í öðrum lögum. Eigi andmælin rétt á sér er ábyrgðaraðila óheimil frekari vinnsla umræddra upplýsinga.
[[Þjóðskrá Íslands]¹⁾ skal halda skrá yfir þá sem andmæla því að nöfn þeirra séu notuð í markaðssetningarstarfsemi. [Ráðherra]³⁾ setur, í samráði við Persónuvernd, nánari reglur⁴⁾ um gerð og notkun slíkrar skrár og hvaða upplýsingar skuli koma þar fram.]²⁾ Ábyrgðaraðilar sem starfa í beinni markaðssókn og þeir sem nota skrá með nöfnum, heimilisföngum, netföngum, símanúmerum og þess háttar eða miðla þeim til þriðja aðila í tengslum við slíka starfsemi skulu, áður en slík skrá er notuð í slíkum tilgangi, bera hana saman við skrá [Þjóðskrár Íslands]¹⁾ til að koma í veg fyrir að markpóstur verði sendur eða hringt verði til einstaklinga sem hafa andmælt slíku. Persónuvernd getur heimilað undanþágu frá þessari skyldu í sérstökum tilvikum.
Öll notkun bannskrár skv. 2. mgr. er óheimil í öðrum tilgangi en þar er lýst.
Skylt er að nafn ábyrgðaraðila komi fram á áberandi stað á útsendum markpósti og hvert þeir sem andmæla því að fá slíkan markpóst og marksímtöl geti snúið sér. Viðtakandi markpósts á rétt á að fá vitneskju um hvaðan þær upplýsingar koma sem liggja úthringingu eða útsendingu til grundvallar. Þetta gildir ekki um markaðssetningu ábyrgðaraðila á eigin vöru og þjónustu sem notar eigin viðskiptamannaskrár, enda beri útsent efni með sér hvaðan það kemur. [Ef markpóstur er sendur með rafrænum hætti er skylt að fram komi á ótvíræðan hátt um leið og hann er móttekinn að um slíkan póst sé að ræða.]⁵⁾
Ábyrgðaraðila er heimilt að afhenda félaga-, starfsmanna- eða viðskiptamannaskrár til nota í tengslum við markaðssetningarstarfsemi. Þetta á þó aðeins við ef:
   1. ekki telst vera um afhendingu viðkvæmra persónuupplýsinga að ræða,
   2. hinum skráðu hefur, áður en afhending fer fram, verið gefinn kostur á að andmæla því, hverjum fyrir sitt leyti, að upplýsingar um viðkomandi birtist á hinni afhentu skrá,
   3. slíkt fer ekki gegn reglum eða samþykktum viðkomandi félags,
   4. ábyrgðaraðili kannar hvort einhver hinna skráðu hefur komið andmælum á framfæri við [Þjóðskrá Íslands],¹⁾ sbr. 2. mgr., og eyðir upplýsingum um viðkomandi áður en hann lætur skrána af hendi.
Ákvæði 5. mgr. gildir ekki ef afhending félaga-, starfsmanna- eða viðskiptamannaskrár til nota við dreifingu markpósts byggist á samþykki hins skráða, sbr. 1. tölul. 1. mgr. 8. gr.
Ákvæði 1.–5. mgr. gilda, eftir því sem við á, einnig um markaðs-, neyslu- og skoðanakannanir. Persónuvernd er heimilt að undanþiggja vísindarannsóknir og hliðstæðar rannsóknir slíkum takmörkunum, enda þyki ljóst að slíkt geti skert til muna áreiðanleika niðurstöðu rannsóknarinnar.]^{6)
   1)L. 77/2010, 5. gr. 2)L. 50/2006, 23. gr. 3)L. 162/2010, 164. gr. 4)Rgl. 36/2005. 5)L. 30/2002, 23. gr. 6)L. 90/2001, 8. gr.} 

Eins og fram kemur í ákvæðinu hefur löggjafinn farið þá leið að fela Þjóðskrá Íslands að halda skrá yfir þá sem ekki vilja að unnið sé með persónuupplýsingar um sig af aðilum sem stunda markaðssetningarstarfsemi. Hefur sú skrá í daglegu tali verið kölluð bannskrá. Aðilar í markaðssetningarstarsemi skulu gæta þess að bera eigin skrár saman við bannskrá til að koma í veg vinnslu persónuupplýsinga um einstaklinga sem hafa andmælt því. Sama gildir, eftir því sem við á, einnig um þá sem gera markaðs-, neyslu- og skoðanakannanir. Yður stendur þannig til boða að fá nafn yðar fært á bannskrá Þjóðskrár í því skyni að andmæla vinnslu á persónuupplýsingum um yður í tengslum við markaðssetningarstarfsemi.

Það er ekki á valdi Persónuverndar að verða við ósk yðar um að breyta framangreindu fyrirkomulagi svo við markaðssetningu megi ekki vinna persónuupplýsingar um menn án þeirra samþykkis. Til þess þyrfti lagabreytingu. Hins vegar vill Persónuvernd benda yður á 46. gr. laga um fjarskipti nr. 81/2003. Þar er bann við því að við beina markaðssetningu sé hringt í menn án þeirra samþykkis. Sú grein hljóðar svo:

46. gr. Óumbeðin fjarskipti.
Notkun sjálfvirkra uppkallskerfa, símbréfa eða tölvupósts, [þ.m.t. hvers konar rafrænna skilaboða (SMS og MMS)],¹⁾ fyrir beina markaðssetningu er einungis heimil þegar áskrifandi hefur veitt samþykki sitt fyrir fram.
Þrátt fyrir ákvæði 1. mgr. er heimilt að nota tölvupóstfang við sölu á vörum eða þjónustu fyrir beina markaðssetningu á eigin vörum eða þjónustu ef viðskiptavinum er gefinn kostur á að andmæla slíkri notkun tölvupóstfanga þeim að kostnaðarlausu þegar skráning á sér stað og sömuleiðis í hvert sinn sem skilaboð eru send hafi viðskiptavinurinn ekki þegar í upphafi hafnað slíkri notkun.
Að öðru leyti en mælt er fyrir í 1. og 2. mgr. eru óumbeðin fjarskipti í formi beinnar markaðssetningar óheimil til þeirra áskrifenda sem óska ekki eftir að taka á móti þeim.
Óheimilt er að senda tölvupóst sem þátt í beinni markaðssetningu þar sem nafn og heimilisfang þess sem stendur að markaðssetningu kemur ekki skýrt fram.
[Þeir sem nota almenna tal- og farsímaþjónustu sem lið í markaðssetningu skulu virða merkingu í símaskrá sem gefur til kynna að viðkomandi áskrifandi vilji ekki slíkar símhringingar í símanúmer sitt. Áskrifandi á rétt á að fá vitneskju um hvaðan þær upplýsingar koma sem liggja úthringingu til grundvallar.]¹⁾

Það er Póst- og fjarskiptastofnun sem hefur eftirlit með því að farið sé að framangreindu ákvæði fjarskiptalaga. Með vísun til 1. mgr. 7. gr. stjórnsýslulaga nr. 37/1993 er yður leiðbeint um að snúa yður til þeirrar stofnunar ef þér kjósið að hún taki mál yðar til meðferðar.