Kvörtun yfir ómerktum markpósti

Mál nr. 2011/746

25.4.2012

Úrskurður

Hinn 17. apríl 2012 kvað Persónuvernd upp eftirfarandi úrskurð í máli nr. 2011/746:


I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Kvörtun
Hinn 23. júní 2011 barst Persónuvernd kvörtun A (hér eftir nefndur kvartandi) yfir markpósti um Nestlé barnamat. Í kvörtuninni segir m.a.:

„Ég á barn sem varð 6 mánaða gamalt þann 15. júní síðastliðinn og fékk í póstinum bréf stimplað 20. júní frá Nestlé í Noregi/Ölgerðinni. Í bréfinu er kynningarbæklingur fyrir barnamat og bent á vefinn www.barnamat.is. Bæklingurinn heitir „Gott að vita um börn og barnamat: Frá 6 mánaða aldri“.
Ljóst er að sjálfvirkur tölvubúnaður Nestlé heldur utan um persónugreinanlegar upplýsingar um barn mitt (aldur barnsins og heimilisfang og nafn forráðamanna) og notfærir sér til þess að markaðssetja vörur sínar án samþykkis forráðamanna. Er þetta nokkuð heimilt með vísan til 8. gr. laga um persónuvernd og meðferð persónuupplýsinga?“

2.
Bréfaskipti við Ölgerðina
Með bréfi, dags. 8. júlí 2011, tilkynnti Persónuvernd Ölgerð Egils Skallagrímssonar ehf. um framangreinda kvörtun og bauð félaginu að koma á framfæri andmælum sínum. Svar barst með tölvubréfi, þann 8. ágúst 2011, en þar segir m.a.:

„Upplýsingarnar sem eru notaðar við útsendinguna eru unnar upp úr þjóðskrá af fyrirtæki sem hefur samning við Þjóðskrá um notkun á skránni til úrtaksgerðar og að útbúa markhópa. Farið er eftir reglum Þjóðskrár við vinnsluna og útsendinguna og er pósturinn stílaður á nöfn skráðra forráðamanna (eða forráðamanns eftir atvikum) barnsins skv. þjóðskrá. Fáum við límmiða með nöfnum forráðamanna barnanna frá umræddum vinnsluaðila til að merkja póstinn.[...].
Ekki er því um að ræða neina skráningu eða sjálfvirkt utanumhald hjá Nestlé á upplýsingum um forráðamenn eða foreldra ungra barna.
[Ölgerðin] hafði samband við Markaðsráð ehf. sem selur [félaginu] þessa grunna og svar [Markaðsráðs ehf.] var eftirfarandi, varðandi kaup og notkun á þeim grunni:
„Markaðsráð ehf. er með samning við Þjóðskrá [...] um notkun á þjóðskrá til úrtaksgerðar. Skv. samningi þar um megum við gera úrtök úr skránni sem byggja á kyni, aldri og búsetu einstaklinga. Þegar um börn og unglinga er að ræða þá er reglna sú að senda ekki beint á börn, heldur stíla póstinn/sendinguna á skráða forráðamenn/foreldra. Einnig að senda ekki fyrr en barnið er um 6 mánaða aldur.[...] Ef hins vegar fólk er ósátt við það að fá til sín markpóst eða aðrar sendingar sem byggja á úrtökum úr þjóðskrá þá getur það auðveldlega bannmerkt sig hjá Þjóðskrá.““

3.
Bréfaskipti við Þjóðskrá
Með bréfi, dags. 11. ágúst 2011, óskaði Persónuvernd upplýsinga frá Þjóðskrá Íslands (ÞÍ) um hvort framangreind notkun á þjóðskrá samrýmdist reglum ÞÍ. Í svarbréfi Þjóðskrár Íslands, dags. 4. október 2011, segir m.a. að í þeim samningi sem hér hafi verið byggt á séu ákvæði um bannmerkingar. Þar segir m.a.:

„Jafnframt kemur fram í samningnum að skylt er að fella niður útskriftir og áritanir nafna sem eru á „bannskrá“ Þjóðskrár Íslands, sbr. reglur nr. 36/2005 um bannskrá þjóðskrár og 28. gr. laga um persónuvernd nr. 77/2000. Þjóðskrá Íslands staðfestir því hér með að sú notkun á þjóðskrá sem lýst er í svarbréfi Ölgerðarinnar í bréfi yðar frá 11. ágúst er í samræmi við þær reglur og þá samninga sem við eiga.“

Með tölvubréfi, dags. 14. nóvember 2011, spurði Persónuvernd kvartanda m.a. hvort hann, barnið eða hitt foreldrið væri á bannskrá. Í svarbréfi kvartanda, dags. 28. nóvember 2011, kom fram að svo er ekki.

4.
Bréfaskipti við Markaðsráð
Með bréfi, dags. 1. desember 2011, var skýringa Markaðsráði ehf. óskað. Í svarbréfi félagsins, dags. 3. janúar 2012, segir m.a.:

„Sá samningur [sem Markaðsráð ehf. hefur gert við Þjóðskrá um nýtingu þjóðskrár] og þær reglur [...] sem Þjóðskrá setur aðilum sem vinna úrtök úr þjóðskrá hafa ekki verið brotnar af Markaðsráð ehf. Um er að ræða að unnið er úrtak yfir forráðamenn/forráðamann (eftir atvikum hvernig þær upplýsingar eru skráðar í þjóðskrá) barna sem eru orðin 6 mánaða gömul og nöfn þeirra árituð á límmiða sem Ölgerðin notar við útsendingu á bréfi.
Ekki eru árituð nöfn forráðamanna/nafn forráðamanns á límmiða ef nafn barns er bannmerkt í þjóðskrá.
Ekki eru árituð nöfn forráðamanna/nafn forráðamanns á límmiða ef nafn þeirra/hans er bannmerkt í þjóðskrá.
Hvað varðar ákvæði 4. mgr. 28. gr. laga nr. 77/2000 [...], þá eru límmiðar sem Markaðsráð ehf. sér um að árita á nöfn sem eru unnin skv. úrtaki úr þjóðskrá, merkt með eftirfarandi texta:
„Sent skv. skrá í vörslu Markaðsráðs-sími 5300800“
Ekki kemst meiri texti fyrir þegar um límmiða er að ræða. Hafi þessi texti ekki verið á þeim límmiða sem merktur var með nafni A þá er beðist afsökunar á þeim mistökum og reynt að tryggja að slíkt gerist ekki aftur.“

Loks var kvartanda veitt tækifæri á að koma á framfæri frekari athugasemdum við framkomnar skýringar Markaðsráðs ehf.  Engar athugasemdir bárust frá honum.


II.
Úrskurður Persónuverndar

1.
Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og þar með valdsvið Persónuverndar, nær til vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. og 1. og 2. mgr. 37. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Með vísun til framangreinds telst sú vinnsla persónuupplýsinga sem mál þetta varðar falla undir lög nr. 77/2000.

Í erindi kvartanda er í fyrsta lagi spurt hvort vinnslan hafi samrýmst 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Við mat á lögmæti ráðstöfunar persónuupplýsinga í markaðssetningarstarfsemi þarf hins vegar einnig að hlíta ákvæðum 28. gr. laganna og því tekur úrlausnarefni máls einnig til þess.  Það er hins vegar ekki hlutverk Persónuverndar að ákveða hve gömul börn skuli vera þegar senda megi þeim markpósti og tekur úrlausn þessi því ekki til þess.

2.
Svo að vinna megi með persónuupplýsingar verður ávallt að vera fullnægt einhverju skilyrðanna í 1. mgr. 8. gr. laga nr. 77/2000. Í 7. tölul. 1. mgr. 8. gr. segir að sú vinnsla sé heimil sem sé nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Vinnsla í þágu markaðssetningar hefur verið talin geta þjónað lögmætum hagsmunum, og þá samrýmst þessu ákvæði, en til þess þarf að gæta hagsmuna þeirra sem hlut eiga að máli og m.a. virða andmælarétt.

Um andmæli gegn vinnslu persónuupplýsinga í markaðssetningarstarfsemi gildir ákvæði 2. mgr. 28. gr. laga nr. 77/2000 um persónuvernd og meðferð persóuupplýsinga. Eins og þar kemur fram hefur löggjafinn falið Þjóðskrá Íslands að halda skrá yfir þá sem ekki vilja að unnið sé með persónuupplýsingar um sig af aðilum sem stunda markaðssetningarstarfsemi. Hefur sú skrá verið kölluð bannskrá. Aðilar í markaðssetningarstarsemi skulu gæta þess að bera eigin skrár saman við bannskrá til að koma í veg vinnslu persónuupplýsinga um einstaklinga sem eru henni mótfallnir. Ef hinn skráði er barn er það almennt hlutverk þess sem fer með forsjá þess að fara með andmælaréttinn. Óumdeilt er að hvorki barn kvartanda né hann sjálfur höfðu komið á framfæri slíkum andmælum. Verður því ekki séð að brotið hafi verið gegn framangreindu.

Auk þess sem hinn skráði á framangreindan möguleika á að andmæla öllum markpósti (með færslu á bannskrá) á hann einnig rétt á að koma andmælum aðeins á framfæri við viðkomandi útsendingaraðila - vilji hann losna undan skilaboðum frá honum. Til þess þarf hann að vita hver útsendingaraðilinn er og hvert hann geti snúið sér. Til samræmis segir m.a. í 4. mgr. 28. gr.:

Skylt er að nafn ábyrgðaraðila komi fram á áberandi stað á útsendum markpósti og hvert þeir sem andmæla því að fá slíkan markpóst og marksímtöl geti snúið sér. Viðtakandi markpósts á rétt á að fá vitneskju um hvaðan þær upplýsingar koma sem liggja úthringingu eða útsendingu til grundvallar.

Markaðsráð ehf. er aðili sem starfar í beinni markaðssókn, sbr. 2. mgr. 28. gr. Slíkum aðilum ber að koma í veg fyrir að markpóstur verði sendur til þeirra sem ekki vilja fá hann. Í  því tilviki sem hér um ræðir, kom nafn félagsins ekki fram og voru því ekki uppfyllt fyrirmæli  4. mgr. 28. gr. laga nr. 77/2000.

Úrskurðarorð:

Útsending á markpósti til 6 mánaða gamals barns kvartanda, þann 15. júní 2011, um Nestlé barnamat, uppfyllti ekki skilyrði 4. mgr. 28. gr. laga nr. 77/2000 um áritun markpósts.