Miðlun persónuupplýsinga til óviðkomandi - mál nr. 2012/355

19.4.2013

Ákvörðun

 

1.

Grundvöllur máls

Málavextir og bréfaskipti

Þann 5. mars 2012 barst Persónuvernd kvörtun frá AA (hér eftir nefndur kvartandi), vegna miðlunar persónuupplýsinga um hann frá Securitas. Í kvörtuninni segir m.a. að kvartandi hafi lent í vanskilum með nokkra reikninga frá fyrirtækinu vegna heimavarnar. Að sögn kvartanda hafi starfsmaður Securitas, eftir að hafa reynt að ná sambandi við kvartanda, haft samband við mágkonu hans og spurt hana hvort hún vissi hvar kvartandi væri staddur. Þá hafi umræddur starfsmaður hringt í símanúmer sem kvartandi hafði haft hjá fyrri vinnuveitanda. Þar hafi svarað maður sem nú hafi umrætt númer til umráða. Hún hafi spurt hvort viðmælandinn héti A en hann svarað því til að faðir hans héti því nafni. Hafi starfsmaður Securitas þá reifað málavöxtu. Hafi hann síðan áttað sig á að ekki væri um sama einstakling að ræða. Viðmælandinn hafði síðar samband við kvartanda og skýrt honum frá þessu.

Með bréfi, dags. 18. apríl 2012, var Securitas hf. boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993.

Um málavexti segir m.a.:

„Securitas fellst ekki á þá málavaxtalýsingu sem fram kemur í nefndri kvörtun, en kvörtunin virðist lúta að því að Securitas sé ítrekað að reyna að ná tali af kvartanda og hafi miðlað upplýsingum um skuldastöðu kvartanda gagnvart fyrirtækinu til óviðkomandi þriðja aðila.

Kvartandi hefur verið með öryggiskerfi frá Securitas, svokallaða heimavörn, [...]. Um er að ræða leigukerfi, sem kvartandi notar gegn mánaðargjaldi. Í upphafi samningstímans gaf kvartandi upp upplýsingar um heimasíma og farsíma sinn.

Frá [...] hefur Securitas verið í reglulegu sambandi við kvartanda, m.a. þar sem hann hefur ekki staðið í skilum gagnvart fyrirtækinu. Haft hefur verið samband við kvartanda símleiðis, m.a. í það farsímanúmer sem kvartandi gaf upp í upphafi samningstímans.

Föstudaginn 2. mars s.l. reyndi starfsmaður Securitas að ná sambandi við kvartanda símleiðis, en um var að ræða innheimtufulltrúa fyrirtækisins sem vildi ræða við kvartanda um vanskil hans og mögulegt uppgjör. Umræddur innheimtufulltrúi reyndi að ná sambandi við kvartanda í framangreindu farsímanúmeri. Þegar svarað var í farsímann spurði innheimtufulltrúinn viðmælanda sinn að nafni. Viðmælandinn gaf upp nafn kvartanda og í kjölfarið bar innheimtufulltrúinn, í þeirri trú að viðmælandinn væri kvartandi, upp erindi sitt og spurði m.a. hvenær gera mætti ráð fyrir greiðslu frá kvartanda. Viðmælandinn sagði þá föður sinn heita sama nafni og kvartandi, þ.e. að hann héti A, en þó ekki AA. Að svo búnu tilkynnti viðmælandinn innheimtufulltrúanum að kvartandi væri ekki lengur AA. Innheimtufulltrúinn átti ekki erindi við þennan viðmælanda og var samtalinu slitið. Umrætt farsímanúmer hefur nú verið tekið úr skrám Securitas.“

Um heimild til vinnslu segir m.a.:

„Securitas tekur fram að fyrirtækið afhendir ekki upplýsingar um skuldastöðu viðskiptavina þess óviðkomandi þriðju aðilum. Slíkar upplýsingar eru jafnframt ekki afhentar tengliðum sem viðskiptavinir hafa gefið upp. Securitas hefur hins vegar samband símleiðis við þá viðskiptavini sem eru í vanskilum við fyrirtækið og ræðir mögulegt uppgjör. Eðli málsins samkvæmt notast starfsmenn Securitas við þau símanúmer sm viðkomandi viðskiptamenn hafa látið fyrirtækinu í té. í tilvikum þegar ekki hefur reynst mögulegt að ná sambandi í símanúmer sem skráð eru á viðskiptamann hjá Securitas, eða með leit í símaskrá, hefur Securitas m.a. samband við uppgefna tengiliði viðkomandi í því skyni að fá upplýsingar um það hvar eða hvernig hægt sé að ná sambandi við viðskiptamanninn. Systir eiginkonu kvartanda er skráð sem tengiliður vegna þjónustu Securitas við kvartanda, en haft var samband við hana þegar ekki náðist samband við kvartanda.

Atvikið sem kvörtunin virðist lúta að er óheppilegt. Að mati Securitas liggur hins vegar fyrir að sá aðili sem svaraði í því farsímanúmeri sem áður var skráð á kvartanda, sagðist vera kvartandi og var því inntur eftir greiðslu. Starfsmaður Securitas hafði ekki ástæðu til að rengja þennan viðmælanda sinn og því komst það til vitundar hans að kvartandi stæði í skuld við Securitas. Aðgerðir starfsmanns Securitas, eða fyrirtækisins sjálfs, voru þess ekki valdandi að umræddar upplýsingar bárust óviðkomandi þriðja aðila.

Starfsfólk Securitas leggur metnað sinn í að vinna af heiðarleika, árvekni og hjálpsemi í þágu viðskiptavina sinna. Liður í þjónustu fyrirætkisins við viðskiptavini er að hafa samband við þá ef vanskil verða. Í slíkum samskiptum gengur Securitas út frá því að farsímanúmer sem viðskiptavinir hafa gefið upp sem sitt eigið, séu það í raun og veru. Það er hins vegar útilokað að koma í veg fyrir óhappatilvik sem þetta – þegar óviðkomandi þriðji aðili hefur aðgang að farsíma sem skráður er á viðskiptamann og kemur fram gagnvart Securitas í hans nafni.“

Með bréfi, dags. 4. júní 2012, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Securitas hf. til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Var frestur í því sambandi veittur til 15. s.m.

Ekkert svar barst og var erindið ítrekað með bréfi, dags. 18. júlí 2012. Enn barst ekkert svar kvartanda og var erindið því ítrekað aftur með bréfi, dags. 10. október 2012. Var frestur í því sambandi veittur til 10. nóvember s.á. en tekið fram að hefðu engin svör borist fyrir þann tíma yrði litið svo á að kvartandi óskaði ekki frekari úrlausnar og málinu yrði lokað í málaskrá stofnunarinnar.

Svarbréf kvartanda, dags. 30. október 2012, barst Persónuvernd sama dag. Þar kemur m.a. fram að kvartandi hafni því að sá sem svarað hafi umræddu símtali hafi haldið því fram að hann væri AA. Þá kemur enn fremur fram að hann sé ósáttur við innheimtuaðferðir fyrirtækisins. 

Með bréfi, dags. 7. nóvember 2012, var Securitas hf. veittur kostur á að koma á framfæri frekari skýringum við kvörtunina. Svarbréf þess, dags. 26. s.m., barst Persónuvernd þann 3. desember s.á. Þar kemur m.a. fram að fyrirtækið hafni því alfarið að hafa miðlað upplýsingum um skuldastöðu kvartanda gagnvart fyrirtækinu til óviðkomandi þriðja aðila. Þá kom einnig fram að enginn hefði hringt í mágkonu kvartanda og tjáð henni að kvartandi væri í skuld við fyrirtækið.

Með tölvupósti til forstjóra Securitas hf., dags. 16. janúar 2013, óskaði Persónuvernd eftir nánari skýringum á því ósamræmi sem virtist koma fram í bréfum fyrirtækisins um það hvort hringt hefði verið í mágkonu kvartanda eða ekki. Var frestur til að svara veittur til 23. janúar næstkomandi.

Ekkert svar barst og var erindið ítrekað með tölvupósti þann 18. mars 2013. Svarbréf Securitas hf. barst með tölvupósti þann 19. s.m. Þar segir m.a.:

„Málavextir eru þeir að haft var samband við systur eiginkonu kvartanda í þeim tilgangi að fá símanúmer kvartanda. Henni var hins vegar ekki tjáð að kvartandi skuldaði Securitas peninga. Af þessum sökum er sérstaklega tekið fram að enginn á vegum Securitas hafi hringt í mágkonu kvartanda og sagt henni að kvartandi skuldaði Securitas peninga.

Rétt er að árétta að systir eiginkonu kvartanda er skráð sem tengiliður vegna þjónustu Securitas við kvartanda, en haft var samband við hana þegar ekki náðist samband við kvartanda.“

2.

Ákvörðun Persónuverndar

Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, nær til vinnslu persónuupplýsinga. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna. Vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Samkvæmt 1. mgr. 3. gr. laganna gilda þau um sérhverja rafræna vinnslu persónuupplýsinga og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá. Með skrá er einkum átt við skráningarkerfi þar sem persónuupplýsingar eru aðgengilegar samkvæmt tilteknum viðmiðunum, hvort sem þær eru miðlægar, dreifðar eða skipt upp eftir notkun eða staðsetningu. Dæmi um slíkt kerfi er skipulagt skjala- og bréfasafn þar sem finna má upplýsingar um tiltekna einstaklinga. Miðlun persónuupplýsinga úr slíkri skrá, eða úr rafrænu upplýsingakerfi, er vinnsla persónuupplýsinga sem fellur, samkvæmt 3. gr. laga nr. 77/2000, undir gildissvið þeirra.

Mál þetta var rætt á fundi stjórnar Persónuverndar þann 9. apríl 2013. Að mati stjórnar er málið tvíþætt. Annars vegar er um að ræða símtal í símanúmer sem kvartandi sjálfur hafði gefið upp. Hins vegar er um að ræða símtal til mágkonu kvartanda sem hann hafði sjálfur vísað á sem tengilið ef ekki næðist í kvartanda. Af því verður ekki annað ráðið en að Securitas hafi haft samband við kvartanda í gegnum þær upplýsingar sem hann hafði sjálfur gefið fyrirtækinu.

Hvað varðar fyrra atriðið liggur ljóst fyrir að almennum persónuupplýsingum, þ.e. upplýsingum um skuld kvartanda við Securitas, hafi verið miðlað frá Securitas til óviðkomandi þriðja aðila. Af hálfu Securitas hefur því verið haldið fram að sá sem svaraði umræddu símtali hafi í fyrstu gefið til kynna að hann væri kvartandi en þegar liðið hafi á símtalið hafi komið í ljós að svo væri ekki. Kvartandi hefur hins vegar mótmælt þessu. Að mati stjórnar Persónuverndar ríkir nokkur óvissa um málsatvik þessa tiltekna atviks. Stendur því orð gegn orði, sbr. lýsingu á málsatvikum.

Hvað varðar þann þátt málsins er lýtur að mágkonu kvartanda hefur komið fram af hálfu Securitas að eingöngu hafi verið haft samband við hana í þeim tilgangi að hafa uppi á kvartanda. Engum upplýsingum um skuldastöðu hans hafi verið miðlað til hennar. Kvartandi hafnar þeim málatilbúnaði og telur að Securitas hafi miðlað slíkum upplýsingum til hennar. Að mati stjórnar Persónuverndar ríkir einnig óvissa um málsatvik þessa atviks og stendur orð gegn orði.

Þegar svo háttar til eru úrræði stofnunarinnar takmörkuð. Persónuvernd hefur rannsakað mál þetta með þeim úrræðum sem henni eru búin að lögum. Það er ekki á hennar valdi að rannsaka það frekar. Eins og það liggur nú fyrir er ekki hægt að slá því föstu að starfsmenn Securitas hafi vísvitandi miðlað upplýsingum um kvartanda til óviðkomandi þriðja aðila.

Er málinu því lokið af hálfu Persónuverndar.