Úrskurður vegna heimildar Creditinfo Lánstrausts hf. til skráningar á vanskilaskrá

Mál nr. 2017/1710

2.1.2019

Úrskurður

 

Á fundi stjórnar Persónuverndar 20. desember 2018 var kveðinn upp svohljóðandi úrskurður í máli nr. 2017/1710:

I.

Málsmeðferð

1.

Tildrög máls

Persónuvernd barst kvörtun frá [A] (hér eftir nefndur kvartandi) 24. nóvember 2017 vegna skráningar á vanskilaskrá Creditinfo Lánstrausts hf. Í kvörtuninni kemur meðal annars fram að kvartandi hafi verið varastjórnarmaður hjá tveimur félögum sem bæði hefðu verið úrskurðuð gjaldþrota. Hann hafi hins vegar aldrei tekið sæti í stjórnum félaganna og ekki setið neina stjórnarfundi hjá þeim. Kvartandi telur Creditinfo Lánstrausti hf. óheimilt að skrá einstaklinga á vanskilaskrá fyrirtækisins vegna gjaldþrota félaga sem þeir hafi verið varastjórnarmenn hjá. Vísar hann í því sambandi til stöðu og hlutverks varastjórnarmanna, sbr. meðal annars dóm Hæstaréttar Íslands í máli nr. 165/1998. Þá telur kvartandi framangreinda skráningu ekki rúmast innan starfsleyfis Creditinfo Lánstrausts hf.

2.

Bréfaskipti

Með bréfi, dagsettu 2. janúar 2018, var Creditinfo Lánstrausti hf. boðið að tjá sig um framangreinda kvörtun. Svarbréf Creditinfo Lánstrausts hf. barst Persónuvernd með tölvupósti 16. janúar 2018. Í svarbréfinu segir að Creditinfo Lánstraust hf. hafi skráð umræddar upplýsingar á svokallaða rekstrarsöguskrá sem sé hluti af VOG vanskilaskrá (vanskil og opinberar gjörðir). Starfsleyfi fyrirtækisins frá 29. desember 2017 sé efnislega samhljóða því starfsleyfi sem gilt hafi þegar kvartandi hafi lagt fram kvörtun sína til fyrirtækisins og síðar Persónuverndar, frá 28. febrúar 2017 (mál nr. 2016/1626). Í því hafi verið kveðið á um að fyrirtækið mætti meðal annars safna upplýsingum frá hlutafélagaskrá um stofnendur, stjórnarmenn og framkvæmdastjóra hlutafélaga og einkahlutafélaga enda hafi þeir staðið að a.m.k. tveimur slíkum félögum sem úrskurðuð hafi verið gjaldþrota síðustu fjögur ár á undan, sbr. 7. tölulið 1. mgr. greinar 2.2.2. í starfsleyfinu. Þegar upplýsingar séu sóttar til hlutafélagaskrár komi fram hvaða aðilar skipi stjórn félagsins og séu þá taldir upp allir stjórnarmenn, stjórnarformaður, meðstjórnendur og varamenn.

Creditinfo Lánstraust hf. vísar í svarbréfi sínu til þess að í samræmi við starfsleyfið safni fyrirtækið upplýsingum frá hlutafélagaskrá um framkvæmdastjóra, stofnendur og stjórnarmenn hlutafélaga og einkahlutafélaga, hafi þeir staðið að, að minnsta kosti tveimur slíkum félögum, sem hafi verið úrskurðuð gjaldþrota á síðustu fjórum árum. Skráning hafi tekið til allra þeirra aðila sem skipi stjórn samkvæmt upptalningu hlutafélagaskrár. Fyrirtækið hafi unnið að skráningunni samkvæmt því sem að framan greini og telji það í samræmi við starfsleyfi fyrirtækisins sem heimili skráningu upplýsinga um stjórnir eins og þær birtist í hlutafélagskrá enda sé ekki sérstaklega tekið fram í starfsleyfinu að ákveðnar upplýsingar um stjórnir félaga séu undanskildar. Að framangreindu virtu telji fyrirtækið að því hafi verið heimilt að skrá nafn kvartanda á rekstrarsöguskrá þar sem hann hafi tengst tveimur félögum sem úrskurðuð hafi verið gjaldþrota síðustu fjögur ár á undan.

Persónuvernd bauð kvartanda að koma á framfæri athugasemdum sínum við framkomnar skýringar Creditinfo Lánstrausts hf. með bréfi, dagsettu 1. febrúar 2018. Var þess óskað að svör bærust fyrir 16. febrúar s.á. Þar sem engin svör höfðu borist ítrekaði Persónuvernd erindi sitt með bréfi til kvartanda, dagsettu 25. apríl 2018. Var þess þá óskað að svör bærust eigi síðar en 14. maí s.á. Í bréfinu sagði enn fremur að hefðu engin svör borist á þeim tíma yrði málið tekið til efnislegrar meðferðar hjá stofnuninni. Ekki bárust svör frá kvartanda.

II.

Forsendur og niðurstaða

1.

Lagaskil og gildissvið persónuverndarlaga

Kvörtun málsins barst Persónuvernd 24. nóvember 2017, í gildistíð eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, og varðar skráningu kvartanda á vanskilaskrá Creditinfo Lánstrausts hf. Vísar fyrirtækið um heimild til skráningarinnar meðal annars til starfsleyfis fyrirtækisins, frá 29. desember 2017, og þess starfsleyfis sem gilt hafi þegar kvartandi hafi lagt fram kvörtun sína til fyrirtækisins og Persónuverndar, frá 28. febrúar 2017. Fyrrnefnda leyfið gildir til 31. desember næstkomandi.

Lög nr. 77/2000 voru leyst af hólmi með lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sem tóku gildi 15. júlí 2018. Þau lögfestu jafnframt reglugerð (ESB) 2016/679 um persónuvernd, eins og hún var aðlöguð og tekin upp í EES-samninginn. Um heimild Creditinfo Lánstrausts hf. til að skrá kvartanda á vanskilaskrá fyrirtækisins á sínum tíma gilda lög nr. 77/2000 en að því leyti sem skráningin er enn í gildi verður að leysa úr ágreiningi málsins á grundvelli núgildandi laga nr. 90/2018. Við úrlausn málsins verður því vísað til hvort tveggja, ákvæða þágildandi og núgildandi laga. Ekki voru gerðar neinar efnislegar breytingar með lögum nr. 90/2018 á þeim reglum sem gilda um efnið.

Gildissvið laga nr. 90/2018 og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laga nr. 77/2000.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, s.s. með tilvísun í auðkenni, eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti, sbr. 2. tölulið 3. gr. laga nr. 90/2018 og 1. tölulið 4. gr. reglugerðarinnar, sbr. og 1. tölulið 2. gr. laga nr. 77/2000.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, s.s. söfnun, skráningu, flokkun, kerfisbindingu, varðveislu, aðlögun eða breytingu, heimt, skoðun, notkun, miðlun með framsendingu, dreifingu eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samtengingu eða samkeyrslu, aðgangstakmörkun, eyðingu eða eyðileggingu, sbr. 4. tölulið 3. gr. laga nr. 90/2018 og 2. tölulið 4. gr. reglugerðarinnar, sbr. og 2. tölulið 2. gr. laga nr. 77/2000.

Mál þetta lýtur að heimild Creditinfo Lánstrausts hf. til vinnslu persónuupplýsinga um kvartanda sem felst í skráningu hans á vanskilaskrá fyrirtækisins. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölulið 4. gr. reglugerðarinnar, sbr. og sambærilegt ákvæði í 4. tölulið 2. gr. eldri laga nr. 77/2000. Eins og hér háttar til telst Creditinfo Lánstraust hf. vera ábyrgðaraðili að umræddri vinnslu.

2.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að byggja á einhverri þeirra heimilda sem greinir í 9. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. 1. mgr. 8. gr. eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Litið hefur verið svo á að vinnsla upplýsinga um fjárhagsmálefni og lánstraust hafi getað stuðst við heimild í 7. tölulið 1. mgr. 8. gr. laga nr. 77/2000, sem kvað á um að vinnsla persónuupplýsinga væri heimil væri hún nauðsynleg í þágu lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vægju þyngra. Sambærilegt ákvæði er í 6. tölulið 9. gr. laga nr. 90/2018.

Reglugerð nr. 246/2001, um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, var sett samkvæmt heimild í 2. mgr. 45. gr. laga nr. 77/2000. Sambærileg heimild er í 2. mgr. 15. gr. laga nr. 90/2018. Samkvæmt ákvæði II. til bráðabirgða í síðarnefndu lögunum skulu reglugerðir sem ráðherra hefur gefið út á grundvelli laga nr. 77/2000 halda gildi, fari þær ekki í bága við lög nr. 90/2018 og reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679. Samkvæmt 1. mgr. 2. gr. reglugerðar nr. 246/2001 er söfnun og skráning upplýsinga sem varða fjárhagsmálefni og lánstraust einstaklinga, í því skyni að miðla þeim til annarra, óheimil án leyfis Persónuverndar. Tekið er fram í 1. mgr. 3. gr. reglugerðarinnar að handhafa slíks leyfis, sem nefndur er fjárhagsupplýsingastofa, sé einungis heimilt að vinna með upplýsingar sem eðli sínu samkvæmt hafa afgerandi þýðingu við mat á fjárhag og lánstrausti hins skráða.

Creditinfo Lánstraust hf. hefur haft með höndum vinnslu persónuupplýsinga á grundvelli leyfa samkvæmt reglugerð nr. 246/2001. Þegar sú skráning var gerð sem deilt er um í máli þessu var í gildi slíkt leyfi til handa fyrirtækinu, frá 28. febrúar 2017. Líkt og fram hefur komið var nýtt leyfi gefið út 29. desember 2017 sem nú er í gildi. Grein 2.2.2., um upplýsingar úr opinberum gögnum, er samhljóða í báðum framangreindum starfsleyfum. Samkvæmt 7. tölulið 1. mgr. þeirrar greinar má starfsleyfishafi safna frá hlutafélagaskrá, úr skrám sem eru aðgengilegar almenningi, upplýsingum um stofnendur, stjórnarmenn og framkvæmdastjóra hlutafélaga og einkahlutafélaga, enda hafi þeir staðið að a.m.k. tveimur slíkum félögum sem úrskurðuð hafa verið gjaldþrota síðastliðin fjögur ár. Á grundvelli þessa ákvæðis kemur til skoðunar hvort Creditinfo Lánstrausti hf. sé heimilt að safna frá hlutafélagaskrá upplýsingum um varamenn í stjórnum félaga.

Í svarbréfi Creditinfo Lánstrausts hf. segir að þegar upplýsingar séu sóttar til hlutafélagaskrár, komi fram hverjir skipa stjórn tiltekins félags og hverjir séu varamenn. Er það í samræmi við 4. tölulið 1. mgr. 122. gr. laga nr. 138/1994, um einkahlutafélög, sem kveður á um að í tilkynningu til hlutafélagaskrár um stofnun einkahlutafélags skuli greina nöfn, kennitölu, heimilisföng stofnenda félags, stjórnarmanna og varamanna þeirra, framkvæmdastjóra og allra þeirra sem hafi heimild til að rita félagið, svo og endurskoðenda eða skoðunarmanna. Samkvæmt 4. tölulið 1. mgr. 148. gr. laga nr. 2/1995, um hlutafélög, skal einnig, í tilkynningu til hlutafélagaskrár um stofnun hlutafélags, greina nöfn, kennitölu og heimilisföng stofnenda félagsins, stjórnarmanna, framkvæmdastjóra og allra þeirra sem hafi heimild til að rita félagið, svo og nöfn, kennitölu og heimilisföng endurskoðenda eða skoðunarmanna. Sama gildir um varamenn.

Ljóst er af 7. tölulið 1. mgr. greinar 2.2.2. í starfsleyfi Creditinfo Lánstrausts hf. að þar er aðeins kveðið á um heimild til handa fyrirtækinu til að afla upplýsinga um stofnendur, stjórnarmenn og framkvæmdastjóra og tekur ákvæðið því, samkvæmt orðanna hljóðan, ekki til varamanna í stjórn eða annarra þeirra aðila sem vísað er til í framangreindum ákvæðum laga nr. 138/1994 og laga nr. 2/1995. Þar sem skráning á vanskilaskrá fyrirtækisins er íþyngjandi fyrir einstaklinga er að mati Persónuverndar eðlilegt að skýra ákvæði starfsleyfisins þar að lútandi þröngt.

Þá er að líta til þess að í framangreindu ákvæði greinar 2.2.2. er vísað til þess að viðkomandi einstaklingar hafi „staðið að“ a.m.k. tveimur hlutafélögum og/eða einkahlutafélögum sem úrskurðuð hafi verið gjaldþrota síðustu fjögur ár. Verður þá jafnframt að hafa til hliðsjónar framangreint ákvæði 1. mgr. 3. gr. reglugerðar nr. 246/2001 um að handhafa leyfis til vinnslu upplýsinga um fjárhagsmálefni og lánstraust einstaklinga sé einungis heimilt að vinna með upplýsingar sem eðli sínu samkvæmt hafa afgerandi þýðingu við mat á fjárhag og lánstrausti hins skráða.

Að framangreindum ákvæðum virtum verður talið háð vafa að upplýsingar um stöðu einstaklings sem varamanns í stjórn félags séu áreiðanlegar upplýsingar um aðkomu viðkomandi að stjórn þess félags og þar með er vafasamt að þær hafi afgerandi þýðingu við mat á fjárhag og lánstrausti hins skráða. Er það því niðurstaða Persónuverndar að ákvæði 7. töluliðar 1. mgr. greinar 2.2.2. í starfsleyfum til handa Creditinfo Lánstrausti hf., frá 28. febrúar 2017 og 29. desember 2017, heimili fyrirtækinu ekki að safna úr hlutafélagaskrá upplýsingum um varamenn í stjórnum hlutafélaga og einkahlutafélaga sem ekki hafa tekið sæti sem stjórnarmenn og nota þær til að færa viðkomandi einstaklinga á vanskilaskrá fyrirtækisins. Creditinfo Lánstrausti hf. var því óheimilt að skrá kvartanda á þá skrá á framangreindum forsendum.

 

Ú r s k u r ð a r o r ð:

Creditinfo Lánstrausti hf. var ekki heimilt að safna úr hlutafélagaskrá upplýsingum um stöðu kvartanda sem varamanns í stjórn tveggja félaga sem úrskurðuð höfðu verið gjaldþrota á síðustu fjórum árum á undan og nota þær upplýsingar í því skyni að skrá kvartanda á vanskilaskrá fyrirtækisins.