Miðlun persónuupplýsinga úr vanskilaskrá
Mál nr. 2022020371
Öll vinnsla persónuupplýsinga þarf að falla undir eitthvert af heimildarákvæðum persónuverndarlaga. Ein tegund heimilda er sú að umrædd vinnsla teljist nauðsynleg í þágu lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir og hagsmunirnir eða grundvallarréttindi hins skráða sem krefjast verndar persónuupplýsinganna vegi ekki þyngra.
Í þessu tilfelli var litið svo á að hagsmunir kvartanda af því að upplýsingunum yrði ekki miðlað hafi vegið þyngra en hagsmunir þeirra sem upplýsingunum var miðlað til. Upplýsingarnar voru ekki taldar þess eðlis að nauðsynlegt hafi verið að miðla þeim.
----
Persónuvernd úrskurðaði í máli þar sem kvartað var yfir miðlun upplýsinga um kvartanda úr vanskilaskrá Creditinfo Lánstrausts hf. Nánar tiltekið var kvartað yfir því að tilteknum upplýsingum sem fengnar voru úr vanskilaskrá Creditinfo Lánstrausts hf. um kvartanda hafi verið miðlað til stjórnar fulltrúaráðs [X] og síðar framkvæmdastjóra [Y].
Niðurstaða Persónuverndar var sú að miðlun persónuupplýsinga til fyrrgreindra aðila, hafi ekki samrýmst ákvæðum laga um persónuvernd og vinnslu persónuupplýsinga.
Úrskurður
um kvörtun yfir miðlun persónuupplýsinga af hálfu [C] í máli nr. 2022020371:
I.
Málsmeðferð
Hinn 15. febrúar 2022 barst Persónuvernd kvörtun frá [B] lögmanni f.h. [A] (hér eftir kvartandi) yfir öflun upplýsinga um [kvartanda] úr vanskilaskrá Creditinfo Lánstrausts hf. og miðlun þeirra til stjórnar fulltrúaráðs [X] og framkvæmdastjóra [Y] af hálfu [C]. [...]
Persónuvernd bauð [C] að tjá sig um kvörtunina með bréfi, dags. 24. nóvember 2022, og bárust svör [C] 7. desember s.á. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör [C] með bréfi, dags. 4. janúar 2023, og bárust þær með bréfi 11. s.m. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.
Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.
___________________
Ágreiningur er um hvort [C] hafi verið heimilt að miðla upplýsingum um kvartanda sem fengust úr vanskilaskrá Creditinfo Lánstrausts hf. til stjórnar fulltrúaráðs [X] og síðar framkvæmdastjóra [Y] vegna vangaveltna um hæfi kvartanda til stjórnarsetu í því félagi samkvæmt 42. gr. laga nr. 138/1994, um einkahlutafélög.
Samkvæmt gögnum málsins er ljóst að kvartandi og [C] voru á þeim tíma sem kvörtunin barst Persónuvernd félagsmenn í [X], auk þess sem kvartandi sat í stjórn [Y]. [C] var jafnframt hluthafi í [Y].
Þá bera gögn máls með sér að upplýsinganna um kvartanda hafi verið aflað úr vanskilaskrá Creditinfo Lánstrausts hf. af hálfu [lögmannsstofunnar Z] að beiðni [D], sem hafi verið meðstjórnandi [Y]. Umræddar upplýsingar voru nánar tiltekið skjáskot af innri vef Creditinfo Lánstrausts hf. sem sýndi stöðu upplýsinga um kvartanda í vanskilaskrá fyrirtækisins. Var þar að finna, auk nafns og kennitölu, nánari upplýsingar um vanskil kvartanda og opinberar gjörðir vegna þeirra, þ.e. fimm árangurslaus fjárnám, dagsett frá apríl 2017 til febrúar 2020.
Af gögnum máls má svo leiða að framangreindu skjáskoti hafi verið miðlað til áðurnefndra aðila í stjórn fulltrúaráðs [X] og framkvæmdastjóra [Y] af hálfu [C].
Kvartandi telur að [C] hafi verið óheimilt að afla og miðla upplýsingunum til fyrrgreindra aðila. Vísar [kvartandi] til þess að [C] hafi miðlað upplýsingunum til að koma höggi á kvartanda [í öðrum ótengdum tilgangi] og að enginn af viðtakendum þeirra hafi haft hagsmuni af því að fá þær sendar.
[C] telur [sig hafa] haft heimild samkvæmt 6. tölul. 1. mgr. 9. gr. laga nr. 90/2018 til að miðla umræddum fjárhagsupplýsingum um kvartanda til fyrrgreindra aðila, vegna vangaveltna um hæfi [kvartanda], sbr. 42. gr. laga nr. 138/1994, um einkahlutafélög. Sem hluthafi í [Y] hafi [C] haft beina hagsmuni að því að stjórn félagsins uppfyllti lagaákvæði um hæfi. Vinnslan hafi ekki verið íþyngjandi en um eitt skjal með lágmarksupplýsingum hafi verið að ræða sem hafi verið sent fyrrgreindum aðilum til að verja hagsmuni í félaginu, sem ætti miklar eignir.
II.
Niðurstaða
1.
Afmörkun máls
Eins og áður hefur komið fram lýtur kvörtun að öflun og miðlun upplýsinga um kvartanda úr vanskilaskrá Creditinfo Lánstrausts hf. Af gögnum málsins leiðir að [C] hafi ekki aflað viðkomandi upplýsinga, heldur hafi það verið [lögmannsstofan Z], að beiðni [D].
[...]
2.
Lögmæti vinnslu
Mál þetta lýtur að því hvort [C] hafi verið heimilt að miðla upplýsingum um kvartanda úr vanskilaskrá Creditinfo Lánstrausts hf. til stjórnar fulltrúaráðs [X] og framkvæmdastjóra [Y] með vísan til mögulegrar vanhæfni [kvartanda] til að sitja í stjórn þess félags samkvæmt 42. gr. laga nr. 138/1994 um einkahlutafélög, þar sem meðal annars kemur fram að stjórnarmenn skuli vera fjár síns ráðandi.
Varðar málið því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. [C] telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.
Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar ef vinnslan er nauðsynleg í þágu lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, sbr. 6. tölul. 9. gr. lagaákvæðisins og f-lið 1. mgr. 6. gr. reglugerðarákvæðisins.
Til að vinnsla persónuupplýsinga geti byggst á tilvitnaðri vinnsluheimild laga nr. 90/2018, er gert að skilyrði að ábyrgðaraðili, í þessu tilfelli [C], hafi framkvæmt hagsmunamat samkvæmt ákvæðinu, áður en vinnslan fer fram. Framangreint má jafnframt leiða af því sem fram kemur í 2. mgr. 8. gr. laga nr. 90/2018, sbr. 2. mgr. 5. gr. reglugerðarinnar, um að ábyrgðaraðili beri ábyrgð á að farið sé að meginreglum laganna og geti sýnt fram á það.
Eins og áður hefur komið fram taldi [C] vinnsluna hafa getað stuðst við 6. tölul. 9. gr. laga nr. 90/2018. Í því sambandi vísaði [C] til þess að [C] hafi, sem hluthafi í [Y], haft beina hagsmuni af því að stjórnarmenn félagsins uppfylltu 42. gr. laga nr. 138/1994 um hæfi. Ekki hafi verið um íþyngjandi vinnslu að ræða, skjalið sem [C] hafi miðlað hafi innihaldið lágmarksupplýsingar um kvartanda og einungis verið sent fáum aðilum í þeim tilgangi að verja hagsmuni félags sem átti miklar eignir.
Með vísan til framangreinds telur Persónuvernd nauðsynlegt að endurskoða mat [C] á því hvort vinnslan hafi uppfyllt skilyrði samkvæmt 6. tölul. 9. gr. laga nr. 90/2018.
Til að vinnsla persónuupplýsinga geti byggst á tilvitnaðri vinnsluheimild þarf þremur lögbundnum skilyrðum að vera fullnægt. Í fyrsta lagi þurfa að vera til staðar lögmætir hagsmunir ábyrgðaraðila eða þriðja manns. Í öðru lagi þarf vinnslan að vera nauðsynleg í þágu hinna lögmætu hagsmuna. Í þriðja lagi áskilja heimildarákvæðin að hinir lögmætu hagsmunir sem vísað er til vegi þyngra en hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga.
Við beitingu laga nr. 90/2018 getur þurft að líta til annarra laga eftir því sem við á. Eins og áður hefur komið fram var [C] hluthafi í [Y] og kvartandi var þar stjórnarmaður. Samkvæmt fyrrgreindu ákvæði 42. gr. laga nr. 138/1994 um einkahlutafélög er meðal annars gert að skilyrði að stjórnarmenn séu fjár síns ráðandi. Eins og hér háttar til þykir verða að leggja mat á það hvað felist í því að vera fjár síns ráðandi í framangreindum skilningi. Í 3. gr. lögræðislaga nr. 71/1997 kemur fram að fjárráða maður ráði einn fé sínu, nema lög mæli á annan veg. Þá er í athugasemdum með frumvarpi til laga nr. 71/1997 meðal annars vísað til þess í yfirliti yfir sögulegan bakgrunn lögræðislöggjafarinnar að með setningu lögræðislaga nr. 60/1917 hafi verið farið að nota orðið „fjárræði“ um þá sem voru fjár síns ráðandi. Í 1. mgr. 4. gr. lögræðislaga nr. 71/1997 kemur svo fram að fjárræðissvipting fari einungis fram með úrskurði dómara, að tilteknum skilyrðum uppfylltum.
Með vísan til framangreinds er því að mati Persónuverndar ekki unnt að fallast á með [C] að upplýsingar um árangurslaus fjárnám séu til vísbendingar um að kvartandi sé ekki fjár síns ráðandi og þar með vanhæfur til stjórnarsetu í [Y], sbr. 42. gr. laga nr. 138/1994. [C] hafi því ekki verið nauðsynlegt að miðla upplýsingunum vegna lögmætra hagsmuna [C] eða annarra, svo sem stjórnarmeðlima eða hluthafa í [Y]. Eins og hér háttar til verður jafnframt litið svo á að hagsmunir kvartanda af því að upplýsingunum væri ekki miðlað hafi vegið þyngra.
Að þessu gættu samrýmdist vinnslan ekki 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. persónuverndarreglugerðarinnar.
Að öllu framangreindu virtu er niðurstaða Persónuverndar sú að miðlun [C] á persónuupplýsingum um kvartanda til stjórnar fulltrúaráðs [X] og framkvæmdastjóra [Y] hafi ekki samrýmst ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679 um vinnsluheimildir.
Ú r s k u r ð a r o r ð:
Vinnsla [C] á persónuupplýsingum um [A], sem fólst í miðlun persónuupplýsinga um [A] til stjórnar fulltrúaráðs [X] og framkvæmdastjóra [Y], samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679, um vinnsluheimildir.
Persónuvernd, 22.júní 2023
Helga Sigríður Þórhallsdóttir Inga Amal Hasan