Upplýsingar um fermingarbarn - mál nr. 2012/576

14.9.2012

1.

Grundvöllur máls

Málavextir og bréfaskipti

 

Þann 20. apríl 2012 barst Persónuvernd kvörtun [A] (hér eftir nefndur kvartandi), f.h. [barns síns] [B], vegna miðlunar persónuuppýsinga um [B] frá Garðasókn til markaðsdeildar Smáralindar. Í kvörtun kemur m.a. fram að kvartað sé yfir því að markaðsdeild Smáralindar hafi leitað eftir upplýsingum um [B] hjá prestum Garðasóknar, n.t.t. upplýsingum um hvort [B] hafi fermst og hversu oft [B] hafi sótt messur. Þá segir í kvörtun að ekki hafi verið leitað eftir samþykki foreldra [B] fyrir miðlun þessara upplýsinga frá Garðasókn.

 

Með bréfi, 26. apríl 2012, tilkynnti Persónuvernd Smáralind um kvörtunina til samræmis við 13. og 14. gr. stjórnsýslulaga nr. 37/1993 og óskaði skýringa.

 

Svarbréf [lögmanns], f.h. Smáralindar, dags. 7. maí 2012, barst með bréfi, þann 9. s.m. Um málavexti segir m.a.:

 

„[...] Í mars sl. stóð Smáralind fyrir fermingarleik í verslunarmiðstöðinni Smáralind. Fór leikurinn þannig fram að viðskiptavinir Smáralindar sem voru að kaupa fermingargjafir gátu skráð fermingarbarnið til leiks með því að hefta kassakvittun við þátttökuseðil. Til stóð að draga úr innsendum þáttökuseðlum og gátu þau fermingarbörn sem dregin voru út átt von á vinningum [...]. [...]Tekið skal fram að ekki skipti máli um hvers konar fermingu væri að ræða; kristna fermingu eða borgaralega, öll fermingarbörn voru gjaldgeng.[...]

[V]ar nafn [B] dregið sem vinningshafi aðalvinningsins. Þar sem einungis fermingarbörn voru gjaldgeng eins og áður segir, var gengið úr skugga um að [B] hefði eða hygðist í raun fermast. Var það gert með því að fara yfir opinberar upplýsingar um fermingarbörn sem birtar voru í fermingarblaði Morgunblaðsins. Þar var nafn [B] að finna, og því var hafist handa við að hafa samband við [B] og upplýsa um að [B] hefði hlotið aðalvinninginn.

Erfiðlega reyndist að ná í vinningshafann og foreldra [B] þar sem ekki var svarað í uppgefin símanúmar. Var þá leitað annarra leiða, m.a. var reynt að afla upplýsinga í gegnum [netið]. Þar var hins vegar að finna upplýsingar um að [B] hefði ekki fermst.

Í því skyni að fá staðfest hvort [B] hefði í raun fermst hafði starfsmaður Smáralindar samband við prest í Garðakirkju, [...]. Staðfesti hann að [B] hefði ekki fermst [...].“

 

Í bréfi [lögmanns], f.h. Smáralindar kemur enn fremur fram að Smáralind fallist ekki á að umrædd öflun upplýsinga frá presti Garðakirkju brjóti gegn lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og ekki verði séð að þau lög eigi við þá upplýsingaöflun sem hafi farið fram í þessu máli, enda gildi lögin eingöngu um rafræna vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. laganna. Þá segir að í þessu máli sé ljóst að vinnslan hafi ekki verið rafræn og hún sé ekki hluti af skrá. Því geti ekki verið um vinnslu persónuupplýsinga að ræða sem falli undir lögin.

 

Hvað varðar heimild til vinnslu segir m.a.:

 

„Verði talið að umrædd upplýsingaöflun falli undir lögin er ljóst að hún fór í hvívetna fram í samræmi við ákvæði laganna. Í þessu samhengi skal áréttað að upplýsinganna var einungis aflað eftir að í ljós kom, fyrir tilviljun, að umrædd [B] uppfyllti ekki skilyrði til að taka þátt í fermingarleik Smáralindar þar sem [B] myndi ekki fermast. Taka skal fram að lagaskylda hvíldi á Smáralind að kanna sérstaklega hvort [B] uppfyllti skilyrði til þátttöku, þar sem leikurinn hafði verið kynntur með þeim hætti að einungis fermingarbörn væru gjaldgeng. Því var Smáralind rétt og skylt að gæta að því hvort skilyrði þátttöku væru uppfyllt til að gæta jafnræðis gagnvart öðrum þátttakendum í leiknum sem tóku þátt á þeirri forsendu að einungis fermingarbörn væru gjaldgeng. Að veita þátttakanda verðlaun sem ekki uppfyllti þátttökuskilyrði sem kynnt voru opinberlega brýtur að líkindum gegn ákvæðum lga nr. 57/2005 um eftirlit með viðskiptaháttum og markaðssetningu, einkum 8., 9. og/eða 13. gr.

[...]Ekki var aflað upplýsinga um hversu oft [B] hefði sótt messu, eins og haldið er fram í kvörtun. Þá var einungis leitað staðfestingar á upplýsingum sem áður höfðu verið gerðar opinberar í fermingarblaði Morgunblaðsins.

Ljóst er því að upplýsingaöflun sú sem Smáralind stóð fyrir fór því fram í málefnalegum og lögmætum tilgangi, og ekki var gengið lengra en nauðsynlegt var til að ná þeim tilgangi sem að var stefnt. [V]innslan fór því fram í samræmi við þær meginreglur sem 7. gr. laga nr. 77/2000 gerir ráð fyrir. Þá var upplýsingaöflunin heimil með stoð í 8. gr. sömu laga, einkum 2., 3. og 7. tl., eins og ráða má af framangreindu. Því er ljóst að umrædd upplýsingaöflun braut ekki gegn ákvæðum laga um persónuvernd.“

 

Með bréfi, dags. 16. maí 2012, tilkynnti Persónuvernd Garðasókn um kvörtunina til samræmis við 13. og 14. gr. stjórnsýslulaga nr. 37/1993 og óskaði skýringa. Óskaði stofnunin sérstaklega eftir uppplýsingum um hvaða persónuupplýsingum hafi verið miðlað frá Garðasókn til Smáralindar og á hvaða heimild sú miðlun hafi byggst samkvæmt ákvæðum 8. og 9. gr. laga nr. 77/2000. Þá var þess óskað að fram kæmi á hvaða formi upplýsingar væru varðveittar hjá sókninni.

 

Svarbréf [lögmanns], f.h. Garðasóknar, dags. 25. maí 2012, barst með bréfi, þann 31. s.m. Um málavexti segir m.a.:

 

„Séra […] varð fyrir svörum og benti fyrirsvarsmönnum Smáralindar á að nöfn fermingarbarna og hvenær þau fermdust væri að finna á heimasíðu Garðasóknar, sbr. meðfylgjandi útprentun. Eins og þar kemur fram er nafn [B] ekki á listanum yfir fermingarbörn Garðasóknar vorið 2012. Frekari upplýsingar um [B] voru ekki veittar í símtalinu og er slíkum fullyrðingum mótmælt. Því er ekki um neina vinnslu persónuupplýsinga að ræða í skilningi 8. og 9. gr. laga 77/2000.  [...]

Upplýsingar þær sem Garðasókn veitti voru því einungis að vísa á heimasíðu sóknarinnar og var sú upplýsingagjöf í fullu samræmi við heimildir laga 77/2000 um verndun persónuupplýsinga.“

 

Svarbréf Smáralindar og Garðasóknar voru borin undir kvartanda með bréfi, dags. 4. júní 2012, og honum gefinn kostur á að koma á framfæri frekari athugasemdir við framkomnar skýringar þeirra. Svarbréf kvartanda barst með tölvubréfi þann 12. júní 2012. Þar segir:

 

„Hvað varðar fullyrðingar bæði Smáralindar og Garðasóknar varðandi upplýsingar um messusókn [B] þá upplýsti [...] [prestur] Selfosssóknar mig þann 12. apríl að starfsmaður Smáralindar hefði haft samband við sig og óskað eftir upplýsingum um hvort [B] væri skráð í kristilega fermingu hjá honum og jafnframt hefði sá starfsmaður haft upplýsingar um hversu margar messur [B] hefði sótt hjá Garðasókn. Ég treysti því að Persónuvernd sem sjálfstæð stofnun afli þeirra upplýsinga hvað varðar ákæruatriði í kvörtun minni sem máli skipta.“

 

2.

Ákvörðun Persónuverndar

 

Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, nær til vinnslu persónuupplýsinga. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna. Vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Samkvæmt 1. mgr. 3. gr. laganna gilda þau um sérhverja rafræna vinnslu persónuupplýsinga og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá. Með skrá er einkum átt við skráningarkerfi þar sem persónuupplýsingar eru aðgengilegar samkvæmt tilteknum viðmiðunum, hvort sem þær eru miðlægar, dreifðar eða skipt upp eftir notkun eða staðsetningu. Dæmi um slíkt kerfi er skipulagt skjala- og bréfasafn þar sem finna má upplýsingar um tiltekna einstaklinga. Miðlun persónuupplýsinga úr slíkri skrá, eða úr rafrænu upplýsingakerfi, er vinnsla persónuupplýsinga sem fellur, samkvæmt 3. gr. laga nr. 77/2000, undir gildissvið þeirra.

 

Mál þetta var rætt á fundi stjórnar Persónuverndar þann 28. ágúst 2012. Að mati stjórnar ríkir nokkur óvissa um hvaða upplýsingum hafi verið miðlað frá Garðasókn til Smáralindar og stendur nú orð gegn orði, sbr. lýsingu á málsatvikum. Þegar svo háttar til geta úrræði stofnunarinnar verið takmörkuð. Persónuvernd hefur rannsakað mál þetta með þeim úrræðum sem henni eru búin að lögum. Það er ekki á hennar valdi að rannsaka það frekar. Eins og það liggur nú fyrir er ekki hægt að slá því föstu að prestur Garðasóknar hafi miðlað upplýsingum um messusókn barns kvartanda eða hvort [B] hafi haft í hyggju að fermast.

 

Er málinu því lokið af hálfu Persónuverndar.