Kennitöluskráning í IKEA

1.7.2010

Úrskurður

Hinn 22. júní 2010 kvað stjórn upp Persónuverndar svohljóðandi úrskurð í máli nr. 2010/53:

I.

Grundvöllur máls.

Málavextir og bréfaskipti

Þann 10. janúar 2010 barst Persónuvernd kvörtun R (hér eftir nefnd kvartandi) yfir vinnslu persónuupplýsinga um hana hjá IKEA í tengslum við skil á vöru hjá fyrirtækinu. Var kvartað yfir að ekki nægði að framvísa kvittun til að fá inneignarnótu heldur þyrfti einnig að gefa upp kennitölu og væru viðskiptavinir krafðir um persónuskilríki.

Með bréfi, dags. 27. janúar 2010 var IKEA tilkynnt um kvörtunina og boðið að koma á framfæri andmælum sínum til samræmis við 13. og 14. gr. stjórnsýslulaga nr. 37/1993. Þá óskaði Persónuvernd eftir upplýsingum um hvernig verklagi væri háttað, m.a. í ljósi ákvæðis 10. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.

Svarbréf Þ, framkvæmdastjóra IKEA, barst með tölvubréfi, dags. 3. febrúar 2010. Þar sagði m.a.:

„Hér verður í stuttu máli raktar skilareglur IKEA og hvaða ástæður liggja fyrir því að þess er krafist að viðskiptavinir framvísi skilríkjum og kennitölu við skil.

IKEA á Íslandi er með rýmstu skilareglur sem um getur á Íslandi og er tekið við vörum burtséð frá því hvort viðkomandi viðskiptavinur geti framvísað kvittun fyrir viðskiptunum, auk þess sem viðskiptavinir geta skilað vörum eftir að þær hafa verið teknar úr pakkningum eða verið settar saman. Ekki eru tímamörk á því hvenær fólk getur skilað vörum til okkar. Þessi stefna er í takt við það sem gengur og gerist hjá IKEA um allan heim og hefur þetta mælst mjög vel fyrir hjá almenning.    Umfang skila er gríðarlegt hjá okkur eða rúmar 200 milljónir án vsk á ársgrundvelli og er þetta í langflestum tilfellum komið til vegna þess að fólk einfaldlega skiptir um skoðun, nú eða þá að það hefur mögulega fengið hlutinn sem gjöf og hann hentar einhverra hluta vegna ekki.

Ástæðan fyrir því að ég er með þessa upptalningu er sú að ég vil benda á að IKEA sem fyrirtæki sýnir viðskiptavinum mikið traust, en samkvæmt neytendalögum þá ber fyrirtæki ekki að taka við vörum nema sá sem skili geti sýnt fram á kvittun fyrir kaupunum og oftast er skilafresturinn mjög skammur. 

Sú staða kom síðan upp síðasta vor, líklega sem aukaafurð efnahagsþrenginga að við urðum vör við stóaukinn þjófnað á vörum hér í versluninni hjá okkur og þá sérstaklega á dýrari smáhlutum.   Skömmu síðar komumst við að því að fólk stundaði það að stela hjá okkur vörum sem það síðan skilaði og seldi inneignarnóturnar á Barnalandi og fleiri stöðum.  Þetta voru engin smá mál,  en í einu þeirra var par uppvíst að viðskiptum með inneignarnótur að upphæð  700.000 og það er einungis það sem við náðum að sanna.

Í kjölfar þessa urðu miklar umræður hér innanhúss um hvað til bragða skildi tekið,  en okkur þótti afleitt að fara að taka uppá því að herða skilareglurnar hjá okkur,  enda mikið hagsmunamál fyrir  viðskiptavini að geta gengið að því vísu að það gæti skilað vörum án vandræða, ef svo bæri undir.   Það varð því ofaná að við ákváðum að halda skilareglum óbreyttum, en koma algerlega í veg fyrir öll viðskipti með illa fengnar inneignarnótur og eina almennilega leiðin til að gera það var að fara fram á að sá sem skilaði framvísaði kennitölu með skilríki því til sönnunar að hún væri rétt og að einungis sá sem ætti þessa kennitölu gæti nýtt sér inneignina.

Þetta er í stuttu máli ástæðan fyrir því að þessi regla var sett hjá okkur.

Því má síðan bæta við að þetta er mikið öryggistæki fyrir viðskiptavini sem hafa tapað inneignarnótum,  en það er ansi algengt.  Inneignarnótan er þá gerð ógild og fær viðskiptavinurinn útgefna nýja inneignarnótu og ber þar af leiðandi ekki skaða af.

Ég get skilið að fólk geti átt erfitt með að skilja þessa reglu og mér þykir miður að [R] hafi ekki fengið betri útskýringar hjá starfsmanni mínum.  Þessi regla er okkur hinsvegar mjög mikilvæg til að koma í veg fyrir misnotkun, en ef okkur yrði bannað þetta þá væri ekki annað til ráða en að þrengja skilareglurnar til muna, þorra viðskiptavina til óþæginda og kostnaðarauka.“

Í símtali starfsmanns Persónuverndar við M, starfsmann IKEA, þann 27. apríl 2010 var staðreynt að í framkvæmd skráir fyrirtækið kennitölur allra viðskiptavina sem skila vörum og fá inneignarnótur. Þegar þeir framvísa nótunum er beðið um skilríki til staðreyningar.

Með bréfum, dags. 8. febrúar og 1. mars, var kvartanda sent afrit af svarbréfi IKEA og boðið að tjá sig um það svar. Engin svör bárust. Með bréfi, dags. 1. mars sl. tilkynnti stofnunin að bærust engin svör fyrir 15. mars 2010 yrði úrskurðað í málinu á grundvelli fyrirliggjandi gagna.

Með bréfi, dags. 25. mars 2010 óskaði Persónuvernd umsagnar Neytendastofu um umrætt verklag við vöruskil. Svarbréf Neytendastofu, dags. 6. apríl 2010, barst stofnuninni þann 9. apríl sl. Þar kom m.a. fram:

„Þar sem neytendum er með lögum ekki veittur réttur til skila á ógallaðri vöru hefur Neytendastofa litið svo á að seljendur hafi frjálsar hendur um þær verklagsreglur sem þeir setja sér við skil á vörum, kjósi þeir að veita neytendum slíkan rétt, brjóti þær ekki í bága við önnur lög, t.d. lög um persónuvernd og meðferð persónuupplýsinga. Neytendastofa hefur þó gert kröfu til þess að seljendur hafi skilareglur sínar sýnilegar neytendum þar sem kaup fara fram.“

Með bréfi, dags. 14. maí 2010, óskaði Persónuvernd frekari skýringa frá IKEA um það hvort, og þá hvernig, IKEA teldi að síðara skilyrði 10. gr. laga nr. 77/2000, um að skráning kenntölu væri heimil væri hún nauðsynleg til að tryggja örugga persónugreiningu, væri uppfyllt. Svarbréf IKEA barst þann 25. maí 2010. Þar kom fram að skráning kennitölu væri nauðsynleg til að tryggja örugga persónugreiningu. Fjöldi alnafna væru á Íslandi sem gæti skapað misskilning og vandamál við skráningu auk þess sem tölvukerfi IKEA væri þannig úr garði gert að ekki væri unnt að viðhafa aðra aðferð en að skrá kennitölur viðskiptavina, við skil á vörum. Tölvukerfi IKEA byði ekki upp á aðra aðferð. Skráning kennitölu væri þ.a.l. nauðsynleg til að tryggja örugga persónugreiningu þeirra sem kysu að nýta sér rúmar skilareglur IKEA.

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr.

Skráning Miklatorgs hf. - IKEA á kennitölum þeirra sem skila vöru og fá inneignarnótur, og krafa um að þeir framvísi persónuskilríkjum til staðreyningar á því hverjir þeir eru, felur í sér vinnslu persónuupplýsinga í framangreindum skilningi. Fellur mál þetta því undir gildissvið laga nr. 77/2000 og þar með valdsvið Persónuverndar, sbr. 37. gr. laganna.

2.

Samkvæmt 10. gr. laga nr. 77/2000 er notkun kennitölu heimil ef hún á sér málefnalegan tilgang og er nauðsynleg til að tryggja örugga persónugreiningu. Við mat á því hvort skilyrði ákvæðisins séu uppfyllt í því máli sem hér er til úrlausnar ber að líta til röksemda Miklatorgs hf. - IKEA um að kennitöluskráning sé félaginu nauðsynleg til að veita tilgreinda vöruskilaþjónustu. Félagið segir að til þess að geta veitt þjónustuna þurfi það að skrá kennitölur viðskiptavina og fá að sjá skilríki þeirra svo einungis þeir sem í raun hafi keypt vöru geti skilað henni og aðeins þeir sem eiga inneignarnótu geti nýtt sér þær.

Samkvæmt framangreindu er umrædd vinnsla upplýsinga um kennitölur viðskiptavinar forsenda þess að hann eigi vöruskilarétt hjá Miklatorgi hf. - IKEA. Þá skiptir máli að mati Persónuverndar að félagið veitir aukinn rétt m.t.t. laga nr. 48/2003, um neytendakaup en í umsögn Neytendastofu kemur fram að seljendur hafa frjálsar hendur um rétt viðskiptavina til að skila vörum.

Með vísan til alls framangreinds telur Persónuvernd að skráningu Miklatorgs hf. - IKEA á kennitölum viðskiptavörum sem skila vörum sé ætlað að þjóna málefnalegum tilgangi í skilningi 10. gr. laga nr. 77/2000. Þá telur Persónuvernd, með vísun til þeirra skýringa sem fram koma í bréfi Miklatorgs hf. - IKEA dags. 14. maí 2010, að skráningin sé félaginu nauðsynleg til að umrædd viðskipti geti farið fram og þar með sé hún nauðsynleg til að tryggja persónugreiningu í skilningi sama ákvæðis.

Ú r s k u r ð a r o r ð:

Skráning Miklatorgs hf.- IKEA á kennitölu R, í tengslum við skil hennar á vöru sem hún hafði keypt hjá félaginu, var heimil.