Úrskurðir og álit - SPRON
Hinn 14. maí 2004 samþykkti stjórn Persónuverndar svohljóðandi álit í máli nr. 2003/622:
Ósk um álit
Með bréfi til Persónuverndar, dags. 17. desember 2003, fór NN, hér eftir nefndur lögmaðurinn, fram á það við stofnunina, fyrir hönd umbjóðanda síns, X, hér eftir nefndur álitsbeiðandi, að hún segði álit sitt "á því hvort [...] geti sótt um vinnsluleyfi til að halda skrá yfir einstaklinga er hafa hlotið refsidóma vegna brota á nánar tilteknum lagaákvæðum íslenskra laga."
Í erindi lögmannsins var gerð grein fyrir tilgangi slíkrar skrár, hvaða persónuupplýsingar yrðu skráðar í hana með vísan til brota á tilteknum ákvæðum almennra hegningarlaga og sérrefsilaga, hvaða reglur myndu gilda um vinnslu upplýsinganna og loks hvernig öryggi þeirra yrði tryggt. Í eftirfarandi kafla verður efni erindisins rakið í stuttu máli.
Sjónarmið álitsbeiðanda
og lýsing hans á vinnslunni
1.
Í erindi álitsbeiðanda kemur fram að hann hafi á síðast liðnum árum tapað fjármunum í lánastarfsemi sinni vegna þess að einstaklingar hafi misnotað lánafyrirgreiðslu hans með ólögmætum og saknæmum hætti. Um sé að ræða einstaklinga sem fari frá einni lánastofnun til annarrar í þeim tilgangi að komast yfir greiðslukort, ávísanahefti eða til að fá aðra lánafyrirgreiðslu, en misnoti hana síðan með þeim hætti að varði við lög.
Örðugt sé fyrir álitsbeiðanda að verjast því að einstaklingar stundi ofangreint athæfi án þess að hafa aðgang að áreiðanlegum upplýsingum um það hvort einstaklingar, er óska eftir lánafyrirgreiðslu, hafi áður hlotið dóm vegna lögbrota. Vinnsla slíkra persónuupplýsinga færi fram í þeim tilgangi að gera álitsbeiðanda kleift að koma í veg fyrir eða meta áhættuna af því að veita einstaklingi lán hafi hann hlotið dóm fyrir tiltekin brot samkvæmt lögum.
Í þessu sambandi verði að líta til þeirrar lagaskyldu sem hvílir á álitsbeiðanda samkvæmt lögum um nr. 161/2002 um fjármálafyrirtæki að haga lánastarfsemi með þeim hætti að tryggja sem minnst útlánatap. Enn fremur sé hart lagt að viðskiptabönkum og sparisjóðum að minnka enn frekar tryggingar fyrir útlánum í formi ábyrgðarmanna.
Varðandi ákvarðanir um lánafyrirgreiðslur til lögaðila skipti miklu að fyrir liggi vitneskja um það, hvort þeir einstaklingar, sem eru í stjórn eða fara með prókúru fyrir slíkan lögaðila, hafi hlotið refsidóma. Refsidómur sem einstaklingur hafi hlotið vegna brota á tilteknum lögum gefi vísbendingu um siðferðisbrest sem gefi tilefni til að ætla að verulega meiri áhætta sé því samfara að lána fé til lögaðila þar sem slíkur einstaklingur er í fyrirsvari en ella. Sanngjarnt og eðlilegt sé að bankar og sparisjóðir, sem hafa það hlutverk að geyma og ávaxta sparifé landsmanna, hafi tök á að komast hjá því að veita slíkum aðilum lánafyrirgreiðslu.
Í erindinu kemur fram að tilhögun skráningar yrði með þeim hætti að skráðar yrðu upplýsingar um brot einstaklinga á tilteknum ákvæðum eftirtalinna lagabálka: Almenn hegningarlög nr. 19/19940, lög um tékka nr. 94/1933, lög um ávana- og fíkniefni nr. 65/1974, lög um tekjuskatt og eignarskatt nr. 90/2003, lög um virðisaukaskatt nr. 50/1988, lög um verðbréfaviðskipti nr. 33/2003, lög um ársreikninga nr. 144/1994, lög um bókhald nr. 145/1994, lög um einkahlutafélög nr. 138/1994 og lög um hlutafélög nr. 2/1995.
Varðveislutími upplýsinga í skránni yrði ákvarðaður með tilliti til þeirra laga sem brotið væri gegn. Þannig væri gert ráð fyrir því að upplýsingar um brot einstaklings gegn almennum hegningarlögum, lögum um tékka og lögum um ávana- og fíkniefni yrðu varðveittar í 7 ár, en upplýsingar um önnur brot í 5 ár.
Upplýsingar um dóma yrðu fengnar úr dómabókum Hæstaréttar og héraðsdómum í þeim tilvikum sem dómi væri ekki áfrýjað. Skráning færi ekki fram fyrr en að gengnum dómi Hæstaréttar eða að liðnum áfrýjunarfresti í héraði. Hinum skráða yrði sent bréf þar sem honum yrði gerð grein fyrir því að til stæði að skrá hann í brotaskrá í samræmi við 21. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og honum yrði jafnframt veitt tækifæri til að koma á framfæri athugasemdum sínum þar að lútandi, a.m.k. 14 dögum fyrir skráninguna.
Aðgangur að brotaskránni yrði takmarkaður við yfirmenn álitsbeiðanda og útibússtjóra sem taka ákvarðanir um veitingu lána. Brotaskráin yrði í aðgangsstýrðum hugbúnaði og þyrfti hver og einn notandi að hafa sérstakt notendanafn og lykilorð að henni. Upplýsingar um allar uppflettingar yrðu færðar í atburðarskrá og geymdar í 10 ár. Þetta eru upplýsingar um nafn fyrirspyrjenda, hvenær fyrirspurn var gerð og um hvaða einstakling.
Af framangreindum ástæðum er farið þess á leit við Persónuvernd að hún láti í ljós álit sitt á því hvort álitsbeiðandi geti fengið vinnsluleyfi til að halda umrædda skrá.
Frekari rökstuðningur álitsbeiðanda
Með bréfi Persónuverndar til lögmanns álitsbeiðanda, dags. 14. janúar 2004, var farið fram á nánari rökstuðning fyrir því að fullnægt væri skilyrðum samkvæmt 3. mgr. 9. gr. laga nr. 77/2000 varðandi heimild stofnunarinnar til að veita umbeðið leyfi til vinnslu persónuupplýsinga, þ.e. að upplýst yrði að hvaða leyti brýnir almannahagsmunir gætu mælt með vinnslunni.
Með bréfi lögmanns álitbeiðanda, dags. 24. febrúar 2004, barst Persónuvernd svar við fyrrgreindu erindi, þar sem fram kæmu rök fyrir því að brýnir almannahagsmunir mæli með umræddri vinnslu, sbr. eftirfarandi:
"Umbj. minn telur að bankar og sparisjóðir, sem stunda innláns- og útlánsviðskipti gegni veigamiklu hlutverki í lífi langflestra einstaklinga. Bankar og sparisjóðir geyma og lána fé og bjóða og veita í síauknu mæli greiðsluþjónustu og aðra aðstoð við skipulag fjármála hjá einstaklingum. Í ljósi þessa mikilvæga hlutverks og hins nána samstarfs er brýnt að sem allra flestir einstaklingar eigi greiðan og óheftan aðgang að slíkri þjónustu.
Að sama skapi leyfir umbj. minn sér að benda á að í ljósi þess að bankar og sparisjóðir reyna eftir fremsta megin að tryggja að sem allra flestir eigi kost á inn- og útlánsviðskiptum, er brýnt að þeir hafi tök á og geti varist því að einstaklingar geti kerfisbundið og endurtekið misnotað sér greiðan aðgang að mikilvægu þjónustuhlutverki banka og sparisjóða með þeim ásetningi að svíkja út úr þeim fé með ólögmætum og saknæmum hætti.
Af þessum sökum telur umbj. minn veigamikil rök mæla með því að bönkum og sparisjóðum sé gert kleyft að koma í veg fyrir að einstaklingar, sem hlotið hafa refsidóma, geti misnotað sér þann greiða aðgang að lánsfé sem almenningi er nauðsynlegur með fyrirkomulagi, aðferðum eða skipulagi sem heimilt er og samræmist ákvæðum laga nr. 77/2000."
Álit Persónuverndar
1.
Þegar afstaða er tekin til þess hvort heimilt sé að skrá þær persónuupplýsingar sem álitsbeiðandi óskar þarf að líta til laga nr. 19/1991 um meðferð opinberra mála. Samkvæmt 1. mgr. 19. gr. þeirra er það eitt af hlutverkum ríkissaksóknara að halda sakaskrá fyrir allt landið þar sem skráð eru úrslit opinberra mála. Samkvæmt 2. mgr. ákvæðisins setur dómsmálaráðherra í reglugerð nánari ákvæði um gerð og varðveislu sakaskrár, aðgang að henni og sakavottorð, sbr. reglugerð nr. 569/1999 um sakaskrá ríkisins. Þá segir í 3. mgr. að dómsmálaráðherra setji fyrirmæli í reglugerð um aðra kerfisbundna skráningu og varðveislu lögreglu á upplýsingum um brotaferil einstakra manna eða atriði sem varða einkahagi þeirra, sbr. reglugerð nr. 322/2003 um meðferð persónuupplýsinga hjá lögreglu.
Samkvæmt þessu fer framangreind skráning persónuupplýsinga fram á grundvelli fyrirmæla í lögum. Ekki verður af þeim lagafyrirmælum ráðið að löggjafinn hafi gert ráð fyrir því að öðrum en ríkissaksóknara væri heimilt að halda skrá yfir einstaklinga er hlotið hafa refsidóma. Kemur þá til skoðunar hvort að slík vinnsla persónuupplýsinga geti átt sér stoð í lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.
Samkvæmt 1. mgr. 3. gr. laga nr. 77/2000 gilda lögin um sérhverja rafræna vinnslu persónuupplýsinga og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá. Hugtakið "vinnsla" persónuupplýsinga er skýrt í 2. tl. 2. gr. laga nr. 77/2000, sem: "Sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn." Hefur vinnsla persónuupplýsinga verið talin vera hver sú aðgerð sem nota má til að gera upplýsingar tiltækar, þ.m.t. söfnun, skráning, varðveisla, leit, breyting og miðlun. Með vísun til þessa er ljóst að skrá á borð við þá sem álit þetta lýtur að, þ.e. rafræn skrá með upplýsingum um einstaklinga er hafa hlotið refsidóma vegna brota á nánar tilteknum lagaákvæðum íslenskra laga, fellur undir gildissvið fyrrgreindra laga.
Öll vinnsla persónuupplýsinga verður að eiga sér lagastoð samkvæmt einhverju af skilyrðum 1. mgr. 8. gr. laga nr. 77/2000, sbr. og 1. mgr. 9. gr. þeirra ef um er að ræða viðkvæmar persónuupplýsingar. Upplýsingar um það "hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað" teljast til viðkvæmra persónuupplýsinga, sbr. b.-lið 8.tl. 2. gr. laganna, og því verður sú vinnsla sem hér um ræðir að eiga sér lagastoð samkvæmt einhverju af skilyrðum 1. mgr. 8. gr. laganna, auk einhvers skilyrðis 1. mgr. 9. gr. þeirra.
Af gögnum málsins verður ekki séð að umrædd vinnsla geti átt sér lagastoð samkvæmt 1. mgr. 9. gr., enda lýtur álitsbeiðnin að því að Persónuvernd taki afstöðu til þess hvort álitsbeiðandi geti fengið sérstakt leyfi til að hefja umrædda vinnslu persónuupplýsinga sbr. 3. mgr. 9. gr. Það ákvæði er svohljóðandi:
Persónuvernd hefur farið yfir þau sjónarmið sem rakin eru í bréfum lögmanns álitsbeiðanda, dags. 17. desember 2003 og 24. febrúar sl., til stuðnings því að Persónuvernd veiti álitsbeiðanda leyfi til umræddrar vinnslu persónuupplýsinga. Að hennar mati þykir hann ekki hafa sýnt fram á að brýnir almannahagsmunir mæli með því að vinnslan verði heimiluð á grundvelli 3. mgr. 9. gr. laga nr. 77/2000. Er þá litið til þess að markmið umræddrar vinnslu virðist fyrst og fremst vera að draga úr útlánatapi álitsbeiðanda þótt ekki sé vísað til tölulegra upplýsinga í því sambandi. Varðandi hagsmuni almennings er á hinn bóginn vísað er til þess að minna útlánatap álitsbeiðanda leiði til greiðari lánafyrirgreiðslna og dragi úr þörf fyrir tryggingar ábyrgðarmanna. Hins vegar er ekki ljóst hvernig almenningur, þ.e. viðskiptavinir álitsbeiðanda, mun fá notið þess ávinnings. Er því um að ræða óbeina hagsmuni viðskiptavina álitsbeiðanda sem hvorki verða taldir vera nógu skýrt afmarkaðir né heldur öryggir með að skila sér til þeirra.
Með vísan til framangreinds, og með hliðsjón af 33.-36. gr. formálsorða tilskipunar nr. 95/46/EB um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga, verður ekki talið að fjárhaglegir hagsmunir álitsbeiðanda, sem óbeint kynnu að hafa jákvæð áhrif á fjárhagslega hagsmuni viðskiptavina hans, hafi slíkt vægi né heldur þá samfélagslegu skírskotun að fullnægt sé skilyrði 3. mgr. 9. gr. laga nr. 77/2000 um að brýna almannahagsmuni.
Við mat á því hvort veita bæri slíkt leyfi verður jafnframt að horfa til tilgangs laga nr. 77/2000, með áorðnum breytingum, sem er m.a. að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs ásamt því að tryggja áreiðanleika og gæði slíkra upplýsinga. Til að svo megi verða ber að líta til þeirra meginreglna sem fram koma í 1. mgr. 7. gr. laganna og fjalla um gæði gagna og vinnslu. Í 3. tl. ákvæðisins segir að persónuupplýsingar skuli vera "nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar." Af þessari reglu má leiða almenna kröfu um meðalhóf varðandi vinnslu persónuupplýsinga, þ.e. að aðeins skuli unnið með persónuupplýsingar að því marki sem nauðsynlegt er til að ná því markmiði sem að er stefnt, sbr. ummæli þess efnis í athugasemdum við ákvæði þetta í greinargerð með því frumvarpi sem varð að lögum nr. 77/2000. Telur Persónuvernd að álitbeiðandi hafi ekki sýnt fram á að málefnalegu markiði hans um að draga úr útlánatapi vegna saknæmrar háttsemi viðskiptavina verði ekki náð með annarri og vægari aðferð, s.s. með því að biðja viðskiptavini sjálfa um sakavottorð þegar þess telst þörf, eða með því að meta lánshæfi þeirra og lánstraust á grundvelli fyrirliggjandi upplýsinga í vörslu álitsbeiðanda, upplýsinga sem viðskiptavinir létu sjálfir í té og loks upplýsinga frá Lánstrausti hf., sem álitsbeiðandi getur fengið aðgang að á grundvelli samnings.
Samkvæmt framansögðu telur Persónuvernd að umrædd vinnsla persónuupplýsinga, þ.e. gerð skrár um einstaklinga er hafa hlotið refsidóma vegna brota á nánar tilteknum lagaákvæðum íslenskra laga, uppfylli ekki skilyrði 3. mgr. 9. gr. laga nr. 77/2000, þess efnis að brýnir almannahagsmunir mæli með henni. Þá telur Persónuvernd vinnsluna heldur ekki fá samrýmst 3. tl. 7. gr. laganna um að aðeins skuli unnið með nægilegar persónuupplýsingar og viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar