Beiðni leigusala um persónuupplýsingar - mál nr. 2014/1134

27.11.2014

Álit

 

Hinn 22. október 2014 samþykkti stjórn Persónuverndar, með vísun til 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000, svohljóðandi álit í máli nr. 2014/1134:

 

1.

Erindi Samtaka leigutaka

Persónuvernd vísar til bréfs frá Samtökum leigjenda, dags. 13. ágúst 2014.  Í bréfinu óska samtökin eftir áliti Persónuverndar á heimildum leigusala til þess að fara fram á viðkvæmar persónupplýsingar um þá sem hyggjast leigja af þeim húsnæði, t.a.m. upplýsingar um staðfestingu á atvinnu, launaseðla a.m.k. síðustu þriggja mánuða, sakavottorð, uppflettingu í lánstrausti, myndir úr vegabréfum og hjúskaparstöðu. Þá óskuðu samtökin eftir áliti Persónuverndar á því hvort um væri að ræða brot á persónuverndarlögum og hvaða úrræði stæðu leigutökum til boða.

 

2.

Forsendur og niðurstaða

2.1.

Þau lög, sem Persónuvernd framfylgir og starfar eftir, þ.e. lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, gilda um vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Með vísan til framangreinds er ljóst að beiðni leigusala um upplýsingar um leigutaka fellur undir gildissvið laga nr. 77/2000.

 

 

2.2.

Öll vinnsla persónuupplýsinga þarf að uppfylla eitthvert þeirra skilyrða sem talin eru upp í 8. gr. laga nr. 77/2000, auk þess sem vinnsla viðkvæmra persónuupplýsinga þarf einnig að uppfylla eitt þeirra skilyrða sem tíunduð eru í 9. gr. sömu laga. Upplýsingar um það hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað eru viðkvæmar persónuupplýsingar, sbr. b-lið 8. tölul. 2. gr. laganna. Upplýsingar úr sakaskrá eða um dóm sem maður hefur hlotið fyrir refsierðan verknað eru því samkvæmt þessu viðkvæmar persónuupplýsingar. 

Í 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000 segir að vinnsla almennra persónuupplýsinga sé heimil ef hinn skráði hefur ótvírætt samþykkt hana.Við mat á því hvort að hinn skráði hafi gefið fullnægjandi samþykki fyrir vinnslu persónuupplýsinga um sig verður fyrst og fremst að líta til þess hvort að umrædd vinnsla þjóni málefnalegum tilgangi. Þá þarf að liggja skýrt fyrir í hverju samþykkið felst, þ.e. hvers konar vinnslu upplýsingar ábyrgðaraðili hyggst vinna með. Þegar um vinnslu almennra persónuupplýsinga er að ræða, getur samþykki verið veitt í verki, t.d. með afhendingu tiltekinna upplýsinga. Einnig getur þurft að líta til þess hvort að umrætt samþykki sé gefið af fúsum og frjálsum vilja.

Þá getur vinnsla persónuupplýsinga einnig stuðst við 2. tölul. 1. mgr. 8. gr. laganna, ef hún telst nauðsynleg til að efna samning sem hinn skráði er aðili að eða til að gera ráðstafanir að beiðni hins skráða áður en samningur er gerður. Undir þetta ákvæði getur fallið sú aðstaða þegar vinnsla er nauðsynleg til að undirbúa gerð samnings, s.s. þegar leigusali aflar sér upplýsinga um leigutaka í þeim tilgangi að kanna hvort leigutaki er til þess bær að taka á leigu húsnæði hans.

Ljóst er að í flestum tilvikum er umrædd beiðni leigusala lögð fram í eignarvörslutilgangi og til að koma í veg fyrir að hann verði fyrir tjóni. Í 39. gr. húsaleigulaga nr. 36/1994 eru leigusala tryggð ákveðin réttindi í þessum efnum. Þar kemur fram að áður en afhending hins leigða húsnæðis fer fram er leigusala rétt að krefjast þess að leigjandi setji honum tryggingu fyrir réttum efndum á leigusamningnum, þ.e. fyrir leigugreiðslum og skaðabótum vegna tjóns á hinu leigða sem að leigjandi ber ábyrgð á samkvæmt ákvæðum laga þessara eða almennum reglum. Í 1. mgr. 40. gr. eru taldar upp þær tryggingar sem að leigutaki getur krafist, s.s. bankaábyrgð, sjálfskuldarábyrgð þriðja aðila, tryggingafé o.fl. Þar kemur einnig fram að aðrar tryggingar sem leigjandi býður fram og leigusali metur gildar og fullnægjandi geti einnig talist til trygginga(r) í skilningi ákvæðisins.

Þá segir eftirfarandi í athugasemdum við 3. mgr. 40. gr. frumvarps þess er varð að húsaleigulögum nr. 36/1994:

Samkvæmt 3. mgr. er gert ráð fyrir því að leigusali eigi val um það í hvaða formi trygging sé. Er það eðlileg og sanngjörn tilhögun. Það eru hagsmunir hans og verðmæti sem í húfi eru og tryggja á. Valfrelsi leigjanda í þessu efni væri öldungis óraunhæft því ef leigusali sættir sig ekki við þá tryggingu sem leigjandi velur eða býður þá er honum í sjálfsvald sett að ganga ekki til samninga við hann.

Af framangreindu verður ekki annað ráðið en að leigusali hefur rúmar heimildir til að óska eftir því við leigutaka að hann leggi fram fullnægjandi tryggingar þegar gengið er til samninga um leiguhúsnæði.

Hvað varðar öflun viðkvæmra persónuupplýsinga, s.s. sakavottorðs, segir í 1. tölul. 1. mgr. 9. gr. laganna að vinnsla viðkvæmra persónuupplýsinga sé heimil samþykki hinn skráði hana. Þegar um viðkvæmar persónuupplýsingar er að ræða eru gerðar strangari kröfur en til samþykkis samkvæmt 1. tölul. 1. mgr. 8. gr. Með hugtakinu samþykki í framangreindum tölulið er átt við sérstaka, ótvíræða yfirlýsingu sem einstaklingur gefur af fúsum og frjálsum vilja um að hann sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar, hvernig hún fari fram, hvernig persónuvernd verði tryggð, um að honum sé heimilt að afturkalla samþykki sitt, o.s.frv., sbr. 7. tölul. 2. gr. laga nr. 77/2000. Þá segir í 2. tölul. sömu greinar að vinnsla sé heimil standi sérstök heimild til vinnslunnar samkvæmt öðrum lögum.

Með vísan til framangreinds verður að líta svo á að leigutaki húsnæðis geti gefið samþykki sitt fyrir því að leigusali afli viðkvæmra persónuupplýsinga frá honum sjálfum, s.s. upplýsinga úr sakavottorði. Þó verður ekki framhjá því litið að í vissum tilvikum geti aðstæður verði með þeim hætti að ekki verði litið svo á að samþykki sé gefið með fúsum og frjálsum vilja hins skráða, s.s. þegar mikill aðstöðumunur er á ábyrgðaraðila og hinum skráða eða ef hinn skráði hefur engin önnur úrræði.

Þegar að ábyrgðaraðili óskar eftir gögnum frá hinum skráða verður hann ganga úr skugga um að hann hafi til þess fullnægjandi heimildir. Niðurstaða mats hans getur hins vegar sætt endurskoðun Persónuverndar.

 

2.3.

Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).

Þegar að ábyrgðaraðili, í þessu tilviki leigusali, óskar eftir að hinn skráði afhendi tilteknar persónuupplýsingar um sig, áður en hann gengur í samningssamband við hann, ber honum að huga að framangreindum grunnkröfum. Hann má því ekki ganga lengra en nauðsynlegt og sanngjarnt getur talist. Því viðkvæmari sem upplýsingar eru því meiri kröfur verður að gera um meðalhóf og sanngirni. Þá verður hann einnig að gera ráðstafanir varðandi eyðingu upplýsinga, fái hann þær í hendur til varðveislu.

Samkvæmt framangreindu getur leigusali almennt óskað eftir persónuupplýsingum um væntanlegan leigutaka, í öryggis- og eignarvörslutilgangi.  Honum ber hins vegar að leggja mat á, áður en óskað er eftir viðkvæmum persónuupplýsingum, hvaða upplýsingar séu honum nauðsynlegar til að hann geti lagt mat á áreiðanleika leigutaka. Í slíkum tilvikum mætti ímynda sér að leigusala væri í ákveðnum tilvikum heimilt að óska eftir umsögn fyrrverandi leigusala sem einstaklingur var áður leigutaki hjá. Á grundvelli þeirra upplýsinga gæti hann síðan tekið ákvörðun um hvort nauðsynlegt sé að óska frekari upplýsinga, t.a.m. með framlagningu sakavottorðs eða staðfestingu atvinnuveitanda, staðfestingu launa eða frekari umsagna.

Þá bendir Persónuvernd á að samkvæmt 7. mgr. 85. gr. húsaleigulaga nr. 36/1994 getur kærunefnd húsamála tekið fyrir mál að eigin frumkvæði og eftir tilmælum og ábendingum frá öðrum, svo sem velferðarráðuneyti, Íbúðalánasjóði, byggingarfulltrúum, leigumiðlurum, Húseigendafélaginu og Leigjendasamtökunum. Í slíkum málum getur nefndin látið frá sér fara álit og tilmæli.

 

Niðurstaða

Beiðni leigusala um almennar persónuupplýsingar, s.s. staðfestingu á atvinnu, launaseðla, vanskilaskráningu, myndir í vegabréfi og hjúskaparstöðu, getur stuðst við 2. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Beiðni leigusala um viðkvæmar persónuupplýsingar, s.s. sakavottorð, getur stuðst við 1. tölul. 1. mgr. 9. gr. sömu laga. Þá verður ábyrgðaraðili að ganga úr skugga um að öll vinnsla persónuupplýsinga á hans vegum fullnægi kröfum 7. gr. laganna, m.a. um meðalhóf og sanngirni.