Miðlun á skrá með bannmerkingum
Úrskurður
Á fundi stjórnar Persónuverndar hinn 12. mars 2010 var kveðinn upp svohljóðandi úrskurður í máli nr. 2009/1054:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Þann 19. nóvember 2009 barst Persónuvernd kvörtun K (hér eftir nefnd kvartandi). Hún hafði fengið heimsenda happdrættismiða frá Styrktarfélagi lamaðra vegna svonefnds símahappdrættis, þrátt fyrir að vera með bannmerki, svonefnt x-merki, í símaskrá. Jafnframt kom fram að um leyninúmer var að ræða og að kvartandi væri einnig á bannskrá Þjóðskrár.
2.
Bréfaskipti
Með bréfi, dags. 9. desember 2009, var Styrktarfélagi lamaðra og fatlaðra kynnt kvörtunin og skýringa óskað. Var spurt hvernig staðið hefði verið að umræddri vinnslu og hvaða persónuupplýsingar, þ.e. nafnalistar, hefðu verið notaðir og hvernig þess hefði verið gætt að senda ekki umræddan markpóst til þeirra sem hefðu komið á framfæri andmælum sínum við að fá þannig efni. Erindið var ítrekað með bréfi, dags. 4. janúar 2010.
Svarbréf, dags. 31. desember 2009, barst stofnuninni þann 8. janúar 2010. Þar sagði að þess hefði verið gætt að senda markpóstinn ekki til þeirra sem höfðu komið andmælum sínum á framfæri beint við félagið, ekki til þeirra sem væru á bannskrá Þjóðskrár, ekki til þeirra sem væru með 800- og 900- símanúmer, ekki þeirra sem hefðu leyni- eða frelsisnúmer og ekki þeirra sem væru undir ákveðnum aldri. Var vísað til þess að Póst- og fjarskiptstofnun teldi x-merkingar í símaskrá ekki gilda fyrir póstsendingar heldur eingöngu fyrir símasölu. Kom fram að notuð hefði verið skrá sem miðlað hefði verið frá Já ehf. og um það sagði m.a.:
„Á síðasta áratug hafa orðið gífurlegar breytingar í fjarskiptamálum. Símafélögum fjölgað og fjöldi símnúmera margfaldast. Lengst af sá Landssíminn um vinnslu útsendingaskrár en við breytingar á því fyrirtæki fluttist vinnsla yfir til Já ehf."
Kvartanda var sent afrit af svarbréfi styrktarfélagsins, dags. 21. janúar 2010 og henni boðið að koma á framfæri athugasemdum sínum. Þær bárust með tölvubréfi, dags. 1. febrúar sl. Þar sagði:
„Ég er á bannskrálista þjóðskrár og hef verið í nokkur ár. Ég var búin að hafa samband við styrktarfélag lamaðra og fatlaðra og skýringar þær sem þeir sendu ykkur eru þær sömu og ég fékk. Ég tel að Símaskráin hafi ekki staðið sig. Símaskráin náði í listana og er sent út eftir þeim. Þau höfðu ekki hugmynd um hvort ég var með bannmerki fyrir framan símanúmerið mitt né tékkuðu á því að ég var einnig með leyninúmer."
Persónuvernd sendi bréf til Já ehf., dags. 25. febrúar 2010, og óskaði skýringa. Þær bárust með bréfi, dags. 4. mars 2010. Í bréfinu segir:
„[L] fh. happdrættisins hefur alltaf fullyrt að þessar merkingar hafi ekki gildi þegar kemur að símahappdrættinu en undirrituð fyrir hönd Já var ekki sammála honum um það hvort senda mætti út miða á þá sem höfðu bannmerkingu í Símaskránni. Þar sem árið 2008 bárust óvenju margar kvartanir til Já vegna símahappdrættismiðanna frá SLF leitaði Já til Póst- og fjarskiptastofnunar um nákvæmari túlkun á þessum lögum. P&F fullyrti að það væri alveg á hreinu að bannlistamerking í Símaskrá gildir ekki um símahappdrætti SLF. [L] tjáði mér einnig að hann sendi til Persónuverndar ár hvert lista vegna þessa máls og hafi alltaf fengið samþykki."
II.
Forsendur og niðurstaða
1.
Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og þar með valdsvið Persónuverndar, nær til vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. og 1. og 2. mgr. 37. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Af athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af framangreindu er ljóst að miðlun umræddrar skráar frá Já ehf. til Styrktarfélags lamaðra og fatlaðra er vinnsla persónuupplýsinga í skilningi laga nr. 77/2000 og þarf að samrýmast ákvæðum þeirra.
Mál þetta varðar ekki óumbeðin fjarskipti og reynir því ekki á reglur 5. mgr. 46. gr. fjarskiptalaga nr. 81/2003, um merkingar í símaskrá.
Samkvæmt framansögðu fellur úrlausn ágreiningsmáls þessa undir úrskurðarvald Persónuverndar, sbr. 2. mgr. 37. gr. laga nr. 77/2000.
2.
Svo að vinnsla persónuupplýsinga sé heimil verður ávallt að vera fullnægt einhverju skilyrðanna í 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, og eftir atvikum 9. gr. laganna, ef um viðkvæmar persónuupplýsingar er að ræða. Um vinnslu persónuupplýsinga í markaðssetningarstarfsemi gildir hins vegar sérákvæði 28. gr. laganna. Ákvæðið gerir ráð fyrir sérstökum og ríkum andmælarétti hins skráða að því er varðar notkun persónuupplýsinga um hann í tengslum við markaðssetningarstarfsemi. Er þessi réttur ekki takmarkaður við að hinn skráði tilgreini sérstakar ástæður fyrir andmælum sínum. Persónuvernd telur að í þessu sambandi beri að túlka hugtakið markaðssetning rúmt. Það taki ekki aðeins til kynninga á vöru eða þjónustu sem í boði er gegn gjaldi heldur einnig annars áróðurs-, auglýsinga- og kynningarstarfs þar sem reynir á sömu sjónarmið. Samkvæmt því taki hugtakið markaðssetning m.a. til fjáröflunar góðgerðarfélaga.
Eins og fram kemur í skýringum við ákvæði 28. gr. í athugasemdum, sem fylgdu frumvarpi því er varð að lögum nr. 77/2000, ber að túlka það með hliðsjón af b-lið 14. gr. tilskipunar nr. 95/46/EB. Þar er mælt fyrir um rétt skráðs aðila til að andmæla, með beiðni og sér að kostnaðarlausu, vinnslu persónuupplýsinga um sig sem ábyrgðaraðili fyrirhugar vegna beinnar markaðssetningar, eða rétt til að honum sé skýrt frá því áður en persónuupplýsingar eru fyrst fengnar þriðju aðilum, eða notaðar fyrir þeirra hönd, vegna beinnar markaðssetningar og að fá skýrt tilboð um að nýta rétt sinn til að andmæla slíkri miðlun eða notkun, sér að kostnaðarlausu.
Ákvæði 28. gr. gerir ráð fyrir að Þjóðskrá haldi skrá yfir þá sem andmæla því að nöfn þeirra séu notuð í markaðssetningarstarfsemi. Samkvæmt 2. mgr. 28. gr. skulu þeir sem miðla skrám til þriðja aðila í tengslum við markaðssetningarstarfsemi, áður en slík skrá er notuð í slíkum tilgangi, bera hana saman við skrá Þjóðskrár til að koma í veg fyrir að markpóstur verði sendur eða hringt verði til einstaklinga sem hafa andmælt slíku. Um þá sem miðla félaga-, starfsmanna- eða viðskiptamannaskrám til nota í slíkum tilgangi gildir einnig 5. mgr. 28. gr., eins og ákvæðinu var breytt með lögum nr. 90/2001. Hún hljóðar svo:
„Ábyrgðaraðila er heimilt að afhenda félaga-, starfsmanna- eða viðskiptamannaskrár til nota í tengslum við markaðssetningarstarfsemi. Þetta á þó aðeins við ef:
1. ekki telst vera um afhendingu viðkvæmra persónuupplýsinga að ræða,
2. hinum skráðu hefur, áður en afhending fer fram, verið gefinn kostur á að andmæla því, hverjum fyrir sitt leyti, að upplýsingar um viðkomandi birtist á hinni afhentu skrá,
3. slíkt fer ekki gegn reglum eða samþykktum viðkomandi félags,
4. ábyrgðaraðili kannar hvort einhver hinna skráðu hefur komið andmælum á framfæri við Þjóðskrá, sbr. 2. mgr., og eyðir upplýsingum um viðkomandi áður en hann lætur skrána af hendi."
Af framangreindu leiðir að áður en slík skrá er afhent til nota í markaðssetningarstarfsemi þarf hinum skráðu, skv. 2. tölul., að hafa verið gefinn kostur á að andmæla því, hverjum fyrir sitt leyti, að upplýsingar um hann birtist á afhentri skrá. Fyrir liggur að kvartandi hefur komið andmælum sínum á framfæri við Já ehf. með því að óska svonefndrar x-merkingar í símaskrá. Gert er ráð fyrir þessu á heimasíðu Já ehf. Þar er reitur fyrir bannlistamerkingu og undir orðunum „Vissir þú...." segir m.a.: „[..]Að x þýðir að rétthafi númersins hefur óskað eftir því að vera ekki ónáðaður af aðilum sem stunda beina markaðssetningu." Telja verður að með því að óska slíkrar merkingar hafi kvartandi komið á framfæri andmælum sínum í skilningi framangreinds ákvæðis 5. mgr. 28. gr. laga nr. 77/2000.
Að virtu framangreindu, og ákvæði 1. gr. laga nr. 77/2000, um að markmið laganna sé að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs, og skýringum við ákvæði 28. gr. í athugasemdum sem fylgdu frumvarpi því er varð að lögum nr. 77/2000, og skýringum með lögum nr. 90/2001 um breyting á þeim lögum, og þess að jafna verður skrá Já ehf til viðskiptamannaskrár í skilningi 5. mgr. 28. gr., sérstaklega þegar litið er forsögu hennar, og fyrri skilmála sem tölvunefnd, forveri Persónuverndar, setti um notkun hennar í umræddri starfsemi, þ. á m. um bannmerkingar, er það mat Persónuverndar að Já ehf. hafi, áður en það afhenti skrána til Styrktarfélags lamaðra og fatlaðra, borið að eyða nafni kvartanda, sem hafði komið á framfæri ósk sinni um að vera ekki ónáðaður af aðilum sem stunda beina markaðssetningu. Þá þykir mega líta til þess að Styrktarfélag lamaðra og fatlaðra hefur ekki óskað undirþágu frá bannmerkingum, sbr. lokamálslið 2. mgr. 28. gr. laga nr. 77/2000.
Ú r s k u r ð a r o r ð:
Miðlun Já ehf. á upplýsingum um K til Styrktarfélags lamaðra og fatlaðra, á skrá sem ætluð var til nota í markaðssetningarstarfsemi, var ekki í samræmi við ákvæði laga nr. 77/2000.