Úthringingar á vegum Frjálsa fjárfestingarbankans

10.12.2010

 

ÚRSKURÐUR

Þann 7. desember 2010 kvað stjórn Persónuverndar upp eftirfarandi úrskurð í máli nr. 2010/687:

I.

Grundvöllur máls

Málavextir og bréfaskipti

1.

Tildrög máls

Þann 17. ágúst 2010 barst Persónuvernd kvörtun K (hér eftir nefndur kvartandi) vegna Frjálsa fjárfestingarbankans. Kvartað var yfir að bankinn hefði miðlað upplýsingum um kvartanda til fyrirtækisins Finna ehf. vegna þess að hann hefði ekki greitt af lánum sínum. Í símtali starfsmanns Persónuverndar þann 25. ágúst 2010 við kvartanda kom m.a. fram að Finna ehf. hefði hringt í hann og eiginkonu hans um miðjan maí síðastliðinn og boðið ráðgjöf um lánastöðu þeirra og þau úrræði sem í boði væru.

2.

Bréfaskipti

Með bréfi, dags. 25. ágúst 2010, var Frjálsa fjárfestingarbankanum hf. tilkynnt um kvörtunina og boðið að koma fram með andmæli sín.

Svarbréf H, f.h. slitastjórnar Frjálsa fjárfestingarbankans hf., barst stofnuninni þann 8. september 2010. Þar kom m.a. fram:

„Frjálsi Fjárfestingarbankinn hefur, líkt og önnur fjármálafyrirtæki, unnið hörðum höndum að því að bjóða ýmis úrræði til að taka á greiðsluvanda heimilanna, m.a. í samræmi við lög um aðgerðir í þágu einstaklinga, heimila og fyrirtækja vegna banka- og gjaldeyrishrunsins nr. 107/2009. Sem hluta af kynningu á þessum úrræðum var fyrirtækið Finna ehf. fengið til þess að hringja fyrir hönd bankans í viðskiptavini og bjóða þeim að fá kynningu og ráðgjöf í heimahúsi, sér að kostnaðarlausu. Um var að ræða þjónustu fyrir núverandi viðskiptavini, vegna bankahrunsins.

Finna ehf. fékk engar fjárhagsupplýsingar í hendur, heldur einungis lista með nöfnum og símanúmerum þeirra aðila sem hafa átti samband við. Þá skal áréttað að starfsmenn Finna ehf. veittu sjálfir ekki ráðgjöf, heldur sáu einungis um að skrá þá aðila sem óskuðu eftir að fá slíka ráðgjöf.

Þrátt fyrir framangreint voru þeir starfsmenn Finna ehf. sem tóku að sér umrætt verkefni í þágu bankans látnir skrifa undir trúnaðaryfirlýsingu í samræmi við 58. gr. laga nr. 161/2002, sbr. meðfylgjandi afrit. Var þetta gert í samræmi við góða viðskiptahætti, þrátt fyrir að það væri mat slitastjórnar að viðkomandi starfsmenn hefðu ekki fengið vitneskju um viðskipta- eða einkamálefni umræddra viðskiptavina.“

Með bréfi, dags. 29. september 2010, óskaði Persónuvernd eftir upplýsingum um það hvort, og þá með hvaða hætti, ákvæðum 5. mgr. 28. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga hefði verið fylgt.

Svarbréf Hákonar Más Péturssonar, f.h. slitastjórnar Frjálsa fjárfestingarbankans hf., barst stofnuninni þann 12. október 2010. Þar kom m.a. fram:

„Eins og kemur fram í fyrra bréfi Frjálsa Fjárfestingarbankans ehf. þá var umrædd aðgerð þáttur í því að kynna viðskiptavinum greiðsluvandaúrræði bankans, sem sett voru á grundvelli laga um aðgerðir í þágu einstaklinga, heimila og fyrirtækja vegna banka- og gjaldeyrishrunsins nr. 107/2009.

Ákvæði 5. mgr. 28. gr. persónuverndarlaga takmarkar afhendingu á viðskiptamannaskrám í tengslum við markaðssetningarstarfsemi. Í 2. mgr. 2. gr. reglna um bannskrá nr. 36/2005,[...], er að finna skilgreiningu á hugtakinu. [...]. Ljóst er að skilgreining þessi verður ekki túlkuð svo rúmt að umrædd aðgerð teljist markaðssetning, enda varðar hún hvorki kaup eða leigu á vöru eða þjónustu, né heldur þátttöku í tiltekinni starfsemi. Ákvæði 5. mgr. 28. gr. á því ekki við.

Það skal áréttað að ekki var leitast eftir að fá nýja viðskiptavini eða að fá núverandi viðskiptavini til að kaupa aukna þjónustu. Verið var að bjóða viðskiptavinum að fá ókeypis kynningu á úrræðum sér til hagsbóta, sem gætu lækkað greiðslubyrði af lánum. Umrædd úrræði eru alfarið í þágu viðskiptavina og Frjálsi Fjárfestingarbankinn hf. hafði ekki sérstakra hagsmuna að gæta. Einungis var verið að koma til móts við þarfir heimilanna, í samræmi við ákvæði laga nr. 107/2009.

Til hliðsjónar má vísa til fundar félags- og tryggingamálanefndar Alþingis, 7. október sl., þar sem fulltrúi Frjálsa fjárfestingarbankans hf. gerði grein fyrir umræddum aðgerðum, við góðar undirtektir þingmanna og annarra viðstaddra. Í kjölfarið hóf umboðsmaður skuldara sambærilegar aðgerðir vegna nauðungarsölu, sbr. frétt á heimasíðu hans þann 12. október sl. [...], að fyrirmynd Frjálsa Fjárfestingarbankans og í sama tilgangi.“

Svarbréf Frjálsa fjárfestingarbankans hf. voru borin undir kvartanda með bréfi, dags. 27. október 2010. Ekkert svar barst.

Þann 9. nóvember 2010 ræddi stjórn Persónuverndar málið á fundi sínum. Var ákveðið að óska eftir frekari skýringum Frjálsa fjárfestingarbankans hf. Með bréfi, dags. 10. nóvember 2010, óskaði Persónuvernd eftir að sér bærist afrit af vinnslusamningi sem Frjálsi fjárfestingarbankinn hf. hefði gert við Finna ehf., sbr. 13. gr. laga nr. 77/2000. Þá var þess sérstaklega óskað að stofnuninni bærust upplýsingar um hvaða fyrirmæli Frjálsi fjárfestingarbankinn hf. hafi gefið Finna ehf. vegna umrædds verkefnis, m.a. um með hvaða hætti starfsmenn Finna ehf. skyldu kynna sig þegar haft var samband við viðskiptavini bankans.

Svarbréf Hákonar Más Péturssonar, f.h. slitastjórnar Frjálsa fjárfestingarbankans, barst stofnuninni þann 19. nóvember 2010. Með bréfinu fylgdi verksamningur milli Dróma hf. f.h. Frjálsa fjárfestingarbankans hf. (verkkaupi) og Finna ehf. (verksali) Þar segir m.a.:

„Verksali skal hafa umsjón með og sjá um framkvæmd úthringiverkefnis til valinna viðskiptavina Frjálsa fjárfestingarbankans og [...]. Verkefnið gengur út á að hringja í viðskiptavini verkkaupa þar sem þeim verður boðið upp á heimsóknir sérfræðinga sem kynna munu og svara spurningum um greiðsluvandaúrræði sem lækkað geta greiðslubyrði fasteignalána [...]. Einungis verður um upplýsingagjöf að ræða sem er viðskiptavinum að kostnaðarlausu og óskuldbindandi með öllu.

Verkkaupi mun láta verkefnastjóra Finna ehf. í té nöfn, heimilisföng og símanúmer þeirra aðila sem óskað er eftir að hringt sé í og þeim boðin heimsókn. Verkkaupi mun senda verksala 50-100 nöfn að hverju sinni sem verkefnastjóri hlutar niður og útdeilir á útprentuðu listaformi til þeirra starfsmanna sem sinna munu úthringunni. Heimsóknabókanir og athugasemdir skulu skráðar af starfsmönnum beint á listana. Að úthringilotu lokinni skal tengiliður safna saman listunum til sín og skrá heimsóknarbeiðnir inn í bókunarkerfi verkkaupa. Listum skal þá skilað til verkkaupa.

[...] Hringt skal út eftir handriti sem gert verður í sameiningu af verkkaupa og verksala. Heimild er til þess að umorða handritið í meðferð en þó ekki svo að efnisleg breyting verði á innihaldi skilaboða þess.

Allir starfsmenn verksala sem koma að þessu verkefni skulu undirrita trúnaðar- og þagnaryfirlýsingu varðandi þeirra aðkomu að verkefninu sem nær til alls þess er þeir kunna að sjá og heyra er tengist verkefninu, þar á meðal persónuupplýsinga og viðbrögð viðskiptamanna.

[...] Í lok verkefnisins mun verksali skila öllum gögnum þar sem fram koma nöfn viðskiptamanna aftur til verkkaupa. [...] “

Einnig fylgdi með tölvubréf, dags. 20. maí 2010, þar sem fram kemur handrit að símtali til viðskiptavina. Í handritinu segir m.a.:

„Sæl/l vertu. Ég er að hringja í þig fyrir hönd Frjálsa fjárfestingarbankans/SPRON - má ég trufla þig í eina mínútu? “

　

II.

Niðurstaða Persónuverndar

1.

Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.

Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000. Af athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Öll vinnsla almennra persónuupplýsinga þarf að uppfylla eitthvert af skilyrðum 1. mgr. 8. gr. laganna.

Samkvæmt framansögðu fellur undir úrskurðarvald Persónuverndar, að leysa úr máli sem lýtur að því hvort gætt hafi verið laga nr 77/2000 við vinnslu persónuupplýsinga Frjálsa fjárfestingarbankans, sem fram fór í tengslum við úthringingar vegna ráðgjafar og fræðslu um úrræði sem bankinn bauð í ljósi laga nr. 107/2009 um aðgerðir í þágu einstaklinga, heimila og fyrirtækja vegna banka- og gjaldeyrishrunsins.

2.

Í 28. gr. laga nr. 77/2000, með áorðnum breytingum, er fjallað um andmælarétt hins skráða gegn notkun nafns síns í þágu markaðssetningar. Í 2. mgr. ákvæðisins kemur m.a. fram að ábyrgðaraðilar sem starfa í beinni markaðssókn, og þeir sem nota skrá með nöfnum, heimilisföngum, netföngum, símanúmerum og þess háttar, eða miðla þeim til þriðja aðila í tengslum við slíka starfsemi, skuli hindra að markpóstur verði sendur eða hringt verði til einstaklinga sem hafa andmælt slíku. Rúm túlkun á hugtakinu markaðssetning hefur verið talin forsenda þess að ákvæði 28. gr. nái verndarmarkmiði sínu. Ákvæðið á þó aðeins við ef um markaðssetningu er að ræða en á ekki við þegar send eru önnur skilaboð vegna viðskiptanna, s.s. til þess að ákveða greiðslufyrirkomulag eða leysa úr tilfallandi álitaefnum tengdum viðskiptunum. Í því tilviki sem hér um ræðir var um að ræða kynningu til viðskiptavinar á greiðsluvandaúrræðum sem m.a. höfðu verið ákveðin að virtum ákvæðum laga nr. 107/2009 um aðgerðir í þágu einstaklinga, heimila og fyrirtækja vegna banka- og gjaldeyrishrunsins. Að mati Persónuverndar verður ekki litið svo á að um hafi verið að ræða markaðssetningu í skilningi ákvæða 28. gr. laga nr. 77/2000. Var bankanum því ekki skylt að gefa kvartanda áður sérstaklega kost á að andmæla eða líta sérstaklega til þess hvort hann hefði andmælt vinnslu persónuupplýsinga um sig í tengslum við slíka starfsemi, s.s. með færslu á Bannskrá.

3.

Mál þetta lýtur að afhendingu tiltekinna persónuupplýsinga frá Frjálsa Fjárfestingarbankanum til Finna ehf. en kvartað er yfir að með því hafi átt sér stað óheimil vinnsla persónuupplýsinga. Hugtakið vinnsla er skilgreint í 2. tölul. 2. gr. laga nr. 77/2000, sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn. Í athugasemdum við 2. tölul. 2. gr., í því frumvarpi sem varð að lögum nr. 77/2000, kemur fram að til vinnslu telst hver sú aðferð sem nota má til að gera upplýsingar tiltækar, þ. á m. er átt við miðlun. Við mat á því hvort hér hafi átt sér stað miðlun í þessum skilningi ber að líta þess að Finna ehf. var vinnsluaðili fyrir Frjálsa Fjárfestingarbankann. Samkvæmt 13. gr. laga nr. 77/2000 er ábyrgðaraðila heimilt að semja við tiltekinn aðila um að annast, í heild eða að hluta, fyrir sig þá vinnslu persónuupplýsinga sem hann ber ábyrgð á. Liggur fyrir að slíkur samningur var gerður milli Frjálsa Fjárfestingarbankans og Finna ehf. Bankinn fól Finna ehf. að hringja fyrir sig í viðskiptavini sína. Verkefninu var stýrt af bankanum, starfsmenn Finna ehf. undirrituðu trúnaðaryfirlýsingar og við úthringingar tóku þeir fram að þeir hringdu fyrir Frjálsa fjárfestingarbankann.

Með vísun til framangreinds, og í ljósi ákvæðis 7. töluliðar 1. mgr. 8. gr. laga nr. 77/2000, verður ekki talið að Frjálsi Fjárfestingarbankinn hafi, með því að afhenda persónuupplýsingar um kvartanda til Finna ehf., brotið gegn ákvæðum þeirra laga.

Ú r s k u r ð a r o r ð:

Frjálsa fjárfestingarbankanum var heimilt að afhenda Finna ehf. upplýsingar um kvartanda svo það félag gæti hringt í hann í nafni bankans og kynnt honum tiltekin greiðsluvandaúrræði. Ekki var um að ræða vinnslu í þágu markaðssetningar.