Miðlun í þágu markaðssetningar

29.2.2012

Úrskurður

Á fundi stjórnar Persónuverndar hinn 14. febrúar 2012 var kveðinn upp svohljóðandi úrskurður í máli nr. 2011/930:

I.
Grundvöllur máls
Málavextir og bréfaskipti

1.
Tildrög máls
Þann 30. ágúst 2011 barst Persónuvernd kvörtun A (hér eftir nefnd kvartandi) yfir því að Gagnaveita Reykjavíkur (hér eftir GR) hefði miðlað persónuupplýsingum um sig til þriðju aðila. Um er að ræða miðlun í þágu markaðssetningar af hálfu Vodafone og Hringiðunnar ehf. Í kvörtuninni segir m.a.:

„Forsaga málsins er að GR óumbeðin ákveður að leggja ljósleiðara í húsið sem ég bý í. Ég hef ekki sett mig inn í það enda var þetta óumbeðinn gjörningur sem ég hafði takmarkaðan áhuga á. Ég fæ í kjölfarið senda tilkynningu frá GR um að nú sé lagningu lokið ásamt upplýsingum um hvert ég geti leitað til að nýta leiðarann ef ég vil gera það (t.d. til Vodafone og fleiri aðila). En í kjölfarið ákveður GR að deila þessum upplýsingum með a.m.k. Vodafone og Hringiðunni ehf. að lagningu hans sé lokið og ég sé því mögulegur kaupandi sem get nýtt mér tiltekna þjónustu. Í kjölfarið herja þessir aðilar [...] á mig til að bjóða mér þjónustu sína þann 16. desember 2010. Hingiðan ehf. gerir það með þeim hætti sem er ólöglegur, eða með því að senda SMS og hefur Póst- og fjarskiptastofnun úrskurðað um það nýlega.
Ég hef ekki verið í samskiptum eða viðskiptum við GR eða Hringiðuna ehf. áður en þetta gerist né hef ég veitt þeim leyfi til að deila upplýsingum um mig á milli sín. [...]. Ég tel óeðlilegt og ólöglegt að Gagnaveita Reykjavíkur deili upplýsingum um hvaða búnaði ég bý yfir sem þeir einir ásamt mér hafa upplýsingar um og gæti mögulega nýtt með öðrum aðilum til að þeir geti herjað á mig. Ég hef ekki gefið leyfi fyrir slíku. Ég fékk fullnægjandi upplýsingar frá GR um hvert ég gæti leitað, ef ég svo kysi, til að nýta þjónustuna.
Einnig tel ég óeðlilegt og ólöglegt að nýting upplýsinga um mögulega notendur sem eitt fyrirtæki býr yfir verði hluti af viðskiptasamningum milli fyrirtækja án þess að skýrt umboð notenda liggi fyrir. Ég tel að það sem Gagnaveita Reykjavíkur hefur gert með þessum gjörningi, að deila upplýsingum um mig og líklegast þúsundum annarra, sé ólögleg og hér hafi þeir farið fram með afar slæmu fordæmi sem ég óska að Persónuvernd taki til álita“

2.
Bréfaskipti
Með bréfi, dags. 2. september 2011, tilkynnti Persónuvernd Gagnaveitu Reykjavíkur um kvörtunina og veitti henni kost á að tjá sig til samræmis við ákvæði 13. og 14. gr. stjórnsýslulaga nr. 37/1993. Svarfrestur var veittur til 15. september 2011. Með tölvubréfi, dags. 14. september 2011, óskaði Gagnaveita Reykjavíkur eftir fresti til 30. september 2011 til að koma á framfæri andmælum sínum. Var sá frestur veittur.

Svarbréf Gagnaveitu Reykjavíkur, dags. 26. september 2011, barst stofnuninni þann 30. s.m. Þar segir m.a.:

„[...] Í erindinu kemur fram að forsaga málsins sé að Gagnaveita Reykjavíkur hafi „óumbeðin“ ákveðið að leggja ljósleiðara í húsið sem A býr í. Vegna þessa telur Gagnaveita Reykjavíkur rétt að gera grein fyrir ferli við tengingu ljósleiðara almennt og í viðkomandi fasteign.

Áður en ljósleiðari er lagður í hús þarf að liggja fyrir samþykki húseiganda eða umráðamanns húsnæðis. Þegar um fjöleignarhús er að ræða er það oftast formaður húsfélags sem kemur fram fyrir þess hönd og heimilar ljósleiðaratengingu hússins. Viðkomandi staðfestir með undirritun sinni að hann hafi umboð meðeigenda eða húsfélags til að heimila eða hafna lagningu ljósleiðara og inntaksstað hans. Eins og sést af meðfylgjandi eyðublaði var það B sem heimilaði tengingu ljósleiðara vegna X og staðfesti að hann hefði umboð til þess fyrir hönd meðeigenda sinna eða húsfélags.

Kvartandi telur „óeðlilegt og ólöglegt að Gagnaveita Reykjavíkur deili upplýsingum um hvaða búnaði [kvartandi] býr yfir sem þeir einir ásamt mér hafa upplýsinga um og gæti mögulega nýtt með öðrum aðilum til að þeir geti herjað á mig. Ég hef ekki gefið leyfi fyrir slíku [...]“. Gagnaveita Reykjavíkur starfar í samræmi við lög um fjarskipti nr. 81/2003. Ákvæði IX. kafla þeirra laga um vernd persónuupplýsinga og friðhelgi einkalífs varða að mati Gagnaveitu Reykjavíkur ekki upplýsingar um tengingar einstakra fasteigna við dreifikerfi, s.s. ljósleiðara. Fyrirtækið telur því að heimilt sé að veita þjónustufyrirtækjum upplýsingar um tengdar fasteignir enda sé þess gætt að öllum þjónustufyrirtækjum, sem þess óska, séu veittar sambærilegar upplýsingar. Þjónustufyrirtækjum beri hins vegar að gæta þess að virða ákvæði 3. mgr. 46. gr. laga nr. 81/200[3] og stunda ekki beina markaðssetningu gagnvart þeim sem óska ekki eftir að taka á móti þeim.“

Með bréfi, dags. 19. október 2011, var svarbréf Gagnaveitu Reykjavíkur borið undir kvartanda og henni boðið að koma á framfæri athugasemdum við það.

Með tölvubréfi, dags. 26. október 2011, kom kvartandi á framfæri athugasemdum. Þar segir m.a.:

„[...] Ég er ekki auðkennd í bannskrá Þjóðskrár Íslands þannig að almenna reglan er að það má hafa samband við mig. Það sem ég geri athugasemdir við í kvörtun þeirri sem ég sendi Persónuvernd 25. ágúst 2011 er að Gagnaveita Reykjavíkur hefur veitt og miðlað upplýsingum um mig til a.m.k. tveggja óskyldra aðila (Vodafone og Hringiðunnar ehf.). Ég tel óeðlilegt að fyrirtæki sem ég er ekki í viðskiptum við né hef veitt leyfi til að deila upplýsingum um mig (GR) ákveði að það geti miðlað þriðja aðila/aðilum (sem ég hef ekki veitt leyfi til að afla upplýsinga um mig) upplýsingar um hvaða búnaði húsnæið, sem ég bý í og á, býr yfir. Ég tel það ganga á skjön við lög um persónuvernd og meðferð persónuupplýsinga nr. 77/2000. [...].

Í svari Gagnaveitu Reykjavíkur kemur fram að ljósleiðari hafi verið lagður í húsið sem ég bý í með samþykki formanns húsfélagsins í X. Í því samþykki gefur formaður húsfélagsins Gagnaveitu Reykjavíkur ekki leyfi fyrir því að upplýsingum um húsfélagið sé deilt með öðrum aðilum - hvorki kemur fram að hann leyfi Gagnaveitur Reykjavíkur að upplýsa aðra aðila um að húsfélagið eða húsnæðið búi yfir þessum tengingum/búnaði eða einstakir íbúar. Ef slíkt samþykki frá formanni myndi liggja fyrir fyrir hönd einstakra íbúa og eigenda, sem það gerir ekki, þá gæti formaður húsfélagsins í húsinu sem bý í ekki gefið leyfi fyrir mína hönd um að deila upplýsingum um þann búnað sem ég get nýtt mér.

Hvernig sem á það er litið þá er Gagnaveita Reykjavíkur að deila persónugreinanlegum upplýsingum án leyfis, hvort sem það er nafn mitt, auðkenni minnar fasteignar og heimilis, eða nafn húsfélagsins. Geta má að þeir aðilar sem höfðu samband til að selja þá þjónustu sem hægt væri að tengja þeim búnaði sem Gagnaveita Reykjavíkur hafði komið fyrir höfðu samband við mig símleiðis og með SMS skilaboðum, ekki var haft samband við húsfélagið eða fasteignina í X. Ekki var herjað á húsfélagið eða fasteignina að kaupa þjónustu, heldur þeirra sem eiga fasteignina og búa þar. Málflutningur Gagnaveitu Reykjavíkur á því að sjónarmið um persónuvernd, hvort sem um ræðir lög um fjarskipti nr. 81/2003 eða lög um persónuvernd og meðferð persónuupplýsinga nr. 77/2000, eigi ekki við þar sem um fasteign sé að ræða fellur því um sjálfan sig.“

Með bréfi, dags. 21. nóvember 2011, óskaði Persónuvernd frekari skýringa frá Gagnaveitu Reykjavíkur um það hvaða persónuupplýsingum um kvartanda hún hefði miðlað. Svarbréf barst með tölvubréfi þann 5. desember 2011.  Þar segir m.a.:

„Gagnaveita Reykjavíkur miðlar upplýsingum um fasteignir, sem óskað hafa eftir tengingu við ljósleiðaranet fyrirtækisins, til fjarskiptafyrirtækja sem selja þjónustu sína um það net. Þessar upplýsingar eru opinberar og finnast m.a. í gagnagrunni Fasteignamatsins og eru aðgengilegar í gegnum www.skra.is. Í tilfelli kvörtunaraðila:
- Fastanúmer fasteignar: [...]
- Heimilisfang: [...]
- Póstnúmer: [...]
- Kennitala eiganda: [...]
- Íbúðanúmer: [...]“

Með bréfi, dags. 6. janúar 2012, óskaði Persónuvernd enn skýringa frá Gagnaveitu Reykjavíkur, m.a. um það hvaða heimild hún hefði talið vera fyrir hendi. Í svarbréfi Gagnaveitu Reykjavíkur, dags. 27. janúar 2012, segir m.a.:

„1. Viðkomandi upplýsingar er hægt að nálgast á opinberum vefsvæðum, s.s. fasteignaskrá Þjóðskrár Íslands. Það er því mat Gagnaveitunnar að ekki sé um viðkvæmar upplýsingar að ræða.
2. Gagnaveita Reykjavíkur tengir heimili við ljósleiðaranet sitt að undangenginni ósk eiganda um að heimilið sé tengt. Gagnaveitan lítur svo á að um opinberar upplýsingar sé að ræða. Það sé því á ábyrgð viðkomandi einstaklinga að sjá til þess að vera bannmerktir í þjóðskrá. Þess ber að geta að kvartandi var ekki skráð sem bannmerktur í þjóðskrá þegar uppýsingum var miðlað um hana til þjónustuveitna.
3. Dreifing slíkra upplýsinga er Gagnaveitunni nauðsynleg til þess að gera þjónustuveitum kleift að vita hvaða heimili geta tengst ljósleiðaranetinu og slík starfsemi fer ekki gegn samþykktum Gagnaveitunnar.
4. Gagnaveita Reykjavíkur kannar ekki sérstaklega hvort íbúar séu bannmerktir í þjóðskrá áður en markaðsstarf er hafið. Gagnaveitan mun gera breytingar á vinnslu gagna sem tryggja það að hér eftir sé ekki miðlað upplýsingum um bannmerkta einstaklinga.
Gagnaveitan ítrekar að kvartandi var ekki bannmerktur í þjóðskrá. Því hefðu þær breytingar á vinnulagi, sem Gagnaveitan mun ráðast í, ekki komið í veg fyrir að þjónustuveitur hefðu haft samband og reynt að selja henni þjónustu um ljósleiðaranet fyrirtækisins.“

Af tilefni framangreinds kannaði Persónuvernd, með tölvubréfi, dags. 13. febrúar 2012, hjá Þjóðskrá Íslands hvort um væri að ræða upplýsingar á opinberu vefsvæði. Í svarbréfi Þjóðskrár Íslands, dags. 13. febrúar 2012, segir að svo sé ekki. Þar segir m.a.:

„Í opnum og gjaldfrjálsum aðgangi á heimasíðu stofnunarinnar er hægt að fá grunnupplýsingar um fasteignir, m.a. fastanúmer, heiti eigna og íbúðanúmer (merking).
Ekki er hægt að fá upplýsingar um póstnúmer né upplýsingar um eigendur þ.m.t. kennitölu þeirra.
Í sérstökum áskriftaraðgangi að fasteignaskrá hafa notendur aðgang að ítarlegri upplýsingum um fasteignir þ.m.t. um eigendur fasteigna ásamt kennitölu.  Eingöngu er hægt að leita eftir landnúmeri, fastanúmeri eða heiti fasteignar.  Greitt er fyrir slíkan aðgang og þurfa notendur að samþykkja skilmála sem fram koma á eyðublaði Z-851 sem finna má hér:
http://skra.is/lisalib/getfile.aspx?itemid=7169
 Upplýsingar um póstnúmer koma ekki fram í fasteignaskrá.“

II.
Forsendur og niðurstaða

1.
Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og þar með valdsvið Persónuverndar, nær til vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. og 1. og 2. mgr. 37. gr. laganna.

Gagnaveita Reykjavíkur hefur vísað til þess að hún veiti upplýsingar um „fasteignir, sem óskað hafa eftir tengingu við ljósleiðaranet fyrirtækisins.“ Af því tilefni þarf að taka afstöðu til þess hvort um sé að ræða persónuupplýsingar í skilningi laga nr. 77/2000.  Samkvæmt 1. tölul. 2. gr. laganna eru persónuupplýsingar sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Þá liggur fyrir að miðlað var upplýsingum um kennitölu kvartanda og heimilisfang. Var því um að ræða persónuupplýsingar sem falla undir verndarsvið laganna.

2.
Vinnsla persónuupplýsinga er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Af athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af framangreindu er ljóst að miðlun  persónupplýsinga um kvartanda frá Gagnaveitu Reykjavíkur til Vodafone og Hringiðunnar er vinnsla persónuupplýsinga í skilningi laga nr. 77/2000 sem þarf að samrýmast ákvæðum þeirra. Samkvæmt framansögðu fellur úrlausn ágreiningsmáls þessa undir úrskurðarvald Persónuverndar, sbr. 2. mgr. 37. gr. laga nr. 77/2000.
 
Tekið er fram að úrlausnarefni máls þessa afmarkast við vinnslu persónuupplýsinga í þágu markaðssetningar. Persónuvernd fjallar ekki um notkun fjarskiptatækni við markaðssetningu. Í máli þessu reynir því hvorki á ákvæði fjarskiptalaga né laga um húsgöngu- og fjarsölusamninga varðandi óumbeðin fjarskipti, en eftirlit með þeim ákvæðum fellur ekki undir Persónuvernd heldur undir Póst- og fjarskiptastofnun og Neytendastofu.

3.
Öll vinnsla almennra persónuupplýsinga þarf að samrýmast heimildarákvæðum laga nr. 77/2000. Um miðlun persónuupplýsinga í markaðssetningarstarfsemi gildir ákvæði 28. gr. laganna. Af 5. mgr. hennar leiðir að almenna reglan er sú að ábyrgðaraðilar mega, að tilteknum skilyrðum uppfylltum, afhenda félaga-, starfsmanna- eða viðskiptamannaskrár til nota í tengslum við markaðssetningu.

Kemur þá til skoðunar hvort hér hafi verið um að ræða viðskiptamannaskrá í þessum skilningi.

Taka ber að taka fram að ekki er um að ræða persónuupplýsingar sem opinn og gjaldfrjáls aðgangur er að. Þvert á móti er um að ræða upplýsingar sem GR hefur samið við Þjóðskrá Íslands um að fá aðgang að gegn því að gangast undir tiltekna  skilmála. Meðal þeirra er sá skilmáli að nota upplýsingarnar aðeins í reglubundinni starfsemi sinni og miðla þeim ekki til óviðkomandi aðila. Má ætla að þennan skilmála hafi GR brotið og mun Persónuvernd vekja athygli Þjóðskrá á því. Það kemur þó ekki í veg fyrir að líta megi á þá skrá sem GR miðlaði sem viðskiptamannaskrá.

Hér skiptir máli að kvartandi er eigandi íbúðar í fjöleignarhúsinu nr. Z við X og er meðlimur í húsfélagi þess í samræmi við lög um fjöleignarhús nr. 26/1994. Í máli þessu liggur fyrir ósk félagsins um að fá lagðan ljósleiðara í húsið, sem var undirrituð af B fyrir hönd eigenda, hinn 10.  febrúar 2010. Samkvæmt því, og með hliðsjón af ákvæðum fjöleignahúsalaga um ákvarðanatöku húsfélaga, telst B hafa haft umboð kvartanda til að stofna til umræddra viðskipta við GR. Telst kvartandi því vera viðskiptamaður GR og þar með telst hafa verið um að ræða miðun á  viðskiptamannaskrá í skilningi 5. mgr. 28. gr. laga nr. 77/2000.

4.
Heimildin samkvæmt 5. mgr. 28. gr. laga nr. 77/2000, til að miðla viðskiptamannaskrá í þágu markaðssetningar, er hins vegar bundin vissum skilyrðum. Þau skilyrði eru að:
 
   1. ekki teljist hafa verið um afhendingu viðkvæmra persónuupplýsinga að ræða,
   2. hinum skráðu hafi, áður en afhending fór fram, verið gefinn kostur á að andmæla því, hverjum fyrir sitt leyti, að upplýsingar um sig birtust á hinni afhentu skrá,
   3. slíkt fari ekki gegn reglum eða samþykktum viðkomandi félags,
   4. ábyrgðaraðili hafi kannað hvort einhver hinna skráðu hafi komið andmælum gegn markaðssetningu á framfæri við Þjóðskrá og eytt upplýsingum um viðkomandi áður en hann lét skrána af hendi.

Öll framangreind skilyrði þurfa að hafa verið uppfyllt. Óumdeilt er að Gagnaveita Reykjavíkur gætti ekki skilyrðis 2. tölul., um að gefa kvartanda færi á því, áður en skránni var miðlað til þriðju aðila í þágu markaðssetningar, að andmæla því fyrir sitt leyti að upplýsingar um sig birtust á hinni afhentu skrá. Þegar af þeirri ástæðu er ljóst að miðlunin samrýmdist ekki ákvæði 5. mgr. 28. gr. laganna. GR hefur ekki bent á að hún hafi haft nokkra aðra heimild til að miðla umræddum persónuupplýsingum til þriðja aðila.

Með vísun til framangreinds, og að því virtu að ætla verður að GR hafi brotið samning sinn við Þjóðskrá Íslands, er ljóst að miðlun hennar til þriðju aðila á umræddum persónuupplýsingum um kvartanda var ólögmæt.

Ú r s k u r ð a r o r ð:

Miðlun Gagnvaveitu Reykjavíkur á persónuupplýsingum um A, til Vodafone og Hringiðunnar, í þágu markaðssetningar af þeirra hálfu, var ólögmæt.