Óheimil vinnsla á upplýsingum úr skattskrám - mál nr. 2012/1203

23.9.2013

Ákvörðun

 

Á fundi stjórnar Persónuverndar hinn 18. september 2013 var tekin svohljóðandi ákvörðun í máli nr. 2012/1203:

 

I.

Bréfaskipti

1.

Hinn 19. október 2012 barst Persónuvernd kvörtun, dags. 18. s.m., frá einstaklingi yfir að Creditinfo Lánstraust hf. seldi upplýsingar um hann til lögaðila úr skattskrá ársins 2010 á rafrænu formi. Bréfaskipti áttu sér stað vegna kvörtunarinnar þar sem bæði Creditinfo Lánstrausti hf. og kvartanda var veitt færi á að koma sjónarmiðum sínum á framfæri, auk þess sem aflað var svara við tilteknum spurningum frá Ríkisskattstjóra. Með tölvubréfi til Persónuverndar hinn 4. júní 2013 dró kvartandi kvörtun sína til baka. Með tölvubréfi til Creditinfo Lánstrausts hf. hinn 20. s.m. greindi Persónuvernd frá því að engu að síður myndi stofnunin taka umrædda vinnslu persónuupplýsinga til athugunar að eigin frumkvæði, sbr. 2. mgr. 37. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.

 

Fyrir liggur að lögaðilum, sem keypt hafa áskrift að upplýsingakerfi Creditinfo Lánstrausts hf., var sent tölvubréf haustið 2012 þar sem m.a. segir:

 

„Eftirfarandi upplýsingar er hægt að fá: útsvar, tekjuskattur, auðlegðarskattur og viðbótar auðlegðarskattur. Hægt er að samkeyra kennitölur úr viðskiptavinasafni og fá þessar upplýsingar fyrir sitt eigið viðskiptavinasafn eða hluta viðskiptavinasafns. Einnig er hægt að kaupa úrtak úr skattskránni vegna markaðssetningar (t.d. miðað við útsvarshæstu eða greiðendur auðlegðarskatts) eða skrána í heild sinni á rafrænu formi. Lágmarksvinnsla hjá okkur eru 1000 kennitölur (samkeyrsla eða úrtak).“

 

Í bréfaskiptum hefur einnig komið fram að upplýsingar úr skattskrá séu birtar í svonefndum einstaklingsskýrslum þar sem fram koma upplýsingar um stöðu þeirra á skrá um fjárhagsmálefni og lánstraust auk upplýsinga um tengsl við félög skráð í hlutafélagaskrá og eignatengingar við lögheimili.

 

Hér á eftir verða raktar þær skýringar Creditinfo Lánstrausts hf. varðandi framangreint sem fram komu undir rekstri kvörtunarmálsins, sem og svör Ríkisskattstjóra, auk annarra atriða sem þörf þykir að tiltaka samhengisins vegna.

 

2.

Í bréfi frá Creditinfo Lánstrausti hf. til Persónuverndar, dags. 15. nóvember 2012, kemur m.a. fram að um sé að ræða upplýsingar úr skattskrá sem ríkisskattstjóri leggur fram að álagningu skatta lokinni, sbr. 2. mgr. 98. gr. laga nr. 90/2003 um tekjuskatt. Ekki sé hins vegar um að ræða upplýsingar úr álagningarskrá sem hefur að geyma ráðgerða álagningu skatta eins og hún lítur út fyrir lok frests til að kæra slíka álagningu, sbr. 1. mgr. 98. gr. laganna.

 

Vísað er til þess í bréfinu að samkvæmt 2. mgr. 98. gr. umræddra laga er opinber birting á upplýsingum í skattskrá um álagða skatta heimil, sem og útgáfa þeirra í heild eða að hluta. Segir að hér sé um að ræða sérákvæði sem gangi framar ákvæðum laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Vísað er til álits umboðsmanns Alþingis frá 22. júní 1995 (mál nr. 1299/1994) í því sambandi þar sem m.a. var fjallað um muninn á umræddum skrám, en þar sagði að þrátt fyrir að þágildandi lög um skráningu og meðferð persónuupplýsinga, nr. 121/1989, giltu um skattskrá væri ótvírætt og óumdeilt að birta mætti opinberlega upplýsingar úr henni, þ.e. vegna ákvæðis í þágildandi lögum um tekjuskatt, nr. 75/1981, sem var samhljóða fyrrnefndu ákvæði 2. mgr. 98. gr. laga nr. 90/2003.

 

Þá er í bréfinu vísað til nefndarálits með breytingatillögu við það frumvarp sem varð að lögum nr. 7/1984, en þau bættu umræddu ákvæði við lög nr. 75/1981. Nánar tiltekið er vitnað til þeirra orða í álitinu að „[ó]tvírætt [sé] að birting upplýsinga úr skattskrá og útgáfa hennar í heild [sé] til þess fallin að skapa bæði gjaldendum og skattyfirvöldum virkt aðhald og gegni[…] slík birting því að mörgu leyti sama tilgangi og framlagning skattskráa“. Með þrengingu aðgangs að skattskrá yrði tekið fyrir umræðu um skattamál sem gjarnan fylgir birtingunni, en mikilvægt sé að koma í veg fyrir það.

 

Einnig er vitnað til dóms héraðsdóms Reykjavíkur frá 3. apríl 2009 þar sem tekin var afstaða til þeirrar málsástæðu að 1. mgr. 98. gr. tekjuskattslaga um birtingu álagningarskrár bryti gegn 71. gr. stjórnarskrárinnar og 8. gr. mannréttindasáttmála Evrópu. Taldi dómurinn það markmið löggjafans að veita framteljendum virkt aðhald með birtingunni vera málefnalegt og með vísan til m.a. þess var umræddri dómkröfu hafnað. Eins og nefnt er í bréfi Creditinfo Lánstrausts hf. var málinu áfrýjað til Hæstaréttar sem vísaði málinu frá á þeim grundvelli að málshefjandi hefði ekki lögvarða hagsmuni af úrlausn málsins, sbr. dóm frá 14. október 2010 í máli nr. 779/2009.

 

Að auki er í bréfinu vísað til álits tölvunefndar, forvera Persónuverndar, frá 18. júlí 1994 í máli nr. 95/152, en þar kom fram sú afstaða nefndarinnar að til staðar væri lagaheimild til að gefa út og selja upplýsingar úr skattskrám – ólíkt því sem gilti um upplýsingar úr álagningarskrá. Þá er rakið að samkvæmt 2. mgr. 3. gr. reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, sbr. 45. gr. laga nr. 77/2000, sé handhafa starfsleyfis til rekstrar fjárhagsupplýsingastofu heimilt að vinna með upplýsingar úr opinberum skrám.

 

Með hliðsjón af framansögðu telur Creditinfo Lánstraust hf. ljóst að upplýsingar í skattskrá teljist opinberar upplýsingar sem eigi að vera öllum aðgengilegar samkvæmt afdráttarlausu ákvæði í tekjuskattslögum. Það eigi jafnt við hvort sem upplýsingum sé miðlað rafrænt eður ei. Í því sambandi lítur fyrirtækið sérstaklega til þeirra sjónarmiða sem löggjöf um álagningarskrá byggist á og sem rakin eru í fyrrnefndum frumvarpsathugasemdum. Þá segir m.a.:

 

„Hér ber einnig að hafa í huga að í Noregi var sambærilegt ákvæði í skattalögum og er í 2. mgr. 98. gr. tekjuskattslaganna. Margir fjölmiðlar landsins veittu aðgang að umræddum upplýsingum í gegnum vefsíður sínar þar sem hægt var að leita eftir upplýsingum í skattskrá á grundvelli nafns, heimilisfangs, kennitölu o.s.frv. allan sólarhringinn, alla daga ársins. Mikil umræða skapaðist um umrædda framkvæmd sem á endanum leiddi til þess að lögunum var breytt þannig að sérstaklega var tiltekið í lögum að rafræn opinber birting upplýsinganna væri óheimil, en áður hafði verið kveðið á um heimild til opinberrar birtingar án sérstakrar takmörkunar.“

 

Einnig er m.a. tekið fram í bréfi Creditinfo Lánstrausts hf. að fyrirtækið birti ekki upplýsingar úr skattskrá opinberlega heldur bjóði þeim lögaðilum, sem í viðskiptum séu við fyrirtækið, að kaupa umræddar upplýsingar.

 

3.

Í bréfi Creditinfo Lánstrausts hf. til Persónuverndar, dags. 8. janúar 2013, er m.a. bent á að upplýsingar úr álagningarskrám hafi í allmörg ár verið birtar í svonefndum tekjublöðum, en ekki hafi verið gerðar við það athugasemdir. Þar séu unnir listar eftir m.a. atvinnustéttum, menntun, starfsheitum og vinnustöðum og mánaðarlaun hlutaðeigandi einstaklinga reiknuð og birt. Ólíkar upplýsingar um einstaklinga séu því tengdar og teknar saman í eina skrá sem birt sé í blaði seldu í flestum söluturnum og verslunum landsins. Engar hömlur séu lagðar á kaupendur blaðanna hvað varði endurnot upplýsinganna.

 

Einnig er bent á að Ríkisskattstjóri birtir árlega á heimasíðu sinni lista yfir tekjuhæstu einstaklinga á ákveðnum landsvæðum sem unnir eru upp úr álagningarskrá. Ekki hafi verið settar skorður við endurnotum þessara upplýsinga og geti lánveitendur, sem og aðrir, því nýtt þá með þeim hætti sem þeir kjósi hverju sinni. Þar sem ekki hafi verið sett sérstök skilyrði um endurnot hafi ekki verið litið svo á að ákvæði laga nr. 77/2000 um tilgang vinnslu og viðvörunarskyldu eigi við. Tenging Creditininfo Lánstraust hf. á skattskrá við aðrar skrár gangi skemur en framangreint fyrirkomulag, enda séu ekki reiknuð út mánaðarlaun, birtar upplýsingar um vinnustað og starfsheiti eða öllum almenningi veittur aðgangur. Það að miðlun upplýsinganna sé rafræn breyti hér engu, enda leggi 2. mgr. 98. gr. tekjuskattslaga engar hömlur á tegund miðlunar. Þá sé rafræn vinnsla til bóta fremur en hitt þar sem notkun upplýsinga verði rekjanleg.

 

Vísað er til þess í svari Creditinfo Lánstrausts hf. að í framkvæmd Evrópudómstólsins sé gerður greinarmunur á persónuupplýsingum eftir því hvort þær hafi verið birtar opinberlega eður ei, sbr. dóm dómstólsins frá 24. nóvember 2011 í máli nr. C-468/10. Í þeim dómi kemur fram að skerðing á réttindum einstaklings, sem felst í meðferð persónuupplýsinga, teljist alvarlegri en ella þegar upplýsingar hafa ekki áður verið birtar opinberlega (sjá 44. og 45. gr. dómsins). Meðal annars í ljósi þess telur Creditinfo Lánstraust hf. að friðhelgi einkalífs geti ekki talist raskað þegar aðili miðlar til annars aðila opinberum upplýsingum sem báðir aðilar – og allur almenningur – hafa aðgang að lögum samkvæmt.

 

Að auki segir að miðlun fjárhagsupplýsinga þurfi ekki að byggjast á leyfi Persónuverndar þegar upplýsingarnar koma frá opinberum skrárhöldurum. Samkeppnisaðili Creditinfo Lánstrausts hf., Keldan ehf., hafi fengið að miðla slíkum upplýsingum án starfsleyfis og fæli það því í sér mismunun ef umrædd miðlun upplýsinga úr skattskrá yrði gerð leyfisskyld.

 

Vísað er til þess í bréfi Creditinfo Lánstrausts hf. að samkvæmt athugasemdum við 5. tölul. 1. mgr. 8. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, útilokar fjárhagslegur tilgangur með vinnslu persónuupplýsinga ekki að hún sé í þágu almannahagsmuna. Einnig telur fyrirtækið sölu umræddra upplýsinga heimila óháð þeim tilgangi sem viðskiptavinir hyggjast nýta þær í, en í því sambandi er bent á að ekki hafa verið sett skilyrði þar að lútandi í tengslum við útgáfu svokallaðra tekjublaða. Þá segir að viðskiptavinir fyrirtækisins hafi augljóslega þörf fyrir umræddar upplýsingar í tengslum við lánveitingar. Þar sé um að ræða uppflettingar á aðgangsstýrðu vefsvæði, en um það segir nánar:

 

„Þar er hægt að fletta upp einni kennitölu í einu og sjá upplýsingar um álagt útsvar hlutaðeigandi, auk tölfræðiupplýsinga um fjárhæð útsvars þess aðila í samanburði við aðra hópa byggt á aldri og sveitarfélagsbúsetu. Þá geta viðskiptavinir félagsins skoðað töflu sem sýnir tiltekið útsvarsbil og hvaða launabil fellur innan þess fyrrnefnda. Umrædd vinnsla er bæði málefnaleg og gengur miklu mun skemur en vinnsla upplýsinga úr álagningarskrá. Félagið fær ekki séð hvernig umrædd miðlun opinberra upplýsinga úr skattskrá geti talist ólögmæt. Öll notkun er skráð og þar af leiðandi rekjanleg.“

 

Tekið er fram í bréfi Creditinfo Lánstrausts hf. að fyrirtækið hafi ákveðið að láta af sölu upplýsinga úr skattskrá í þágu markaðssetningar. Fram kemur að fyrirtækið telur sölu upplýsinganna í því skyni þó vera lögmæta. Um það segir:

 

„Þessi þjónusta er önnur en sú sem lýst er að ofan, en viðskiptavinir geta óskað eftir upplýsingum um aðila á tilteknu útsvarsbili o.þ.h., en slíkt felur í sér að félagið vinnur lista upp úr skattskrá skv. beiðni viðskiptavinar. Um þessa þjónustu gilda sérstakir skilmálar félagsins er m.a. byggja á reglum Þjóðskrár um bannlista, reglum Ja.is og eftir atvikum fjarskiptalögum nr. 81/2003. Félagið telur sér heimilt að vinna slíka lista skv. beiðni viðskiptavina þess enda verði ekki séð að viðskiptalegur tilgangur geti komið í veg fyrir miðlun opinberra upplýsinga úr skattskrá.“

 

Einnig segir að upplýsingar úr skattskrá séu ekki samkeyrðar við aðrar skrár Creditinfo Lánstrausts hf., heldur eingöngu við þjóðskrá, sem sé opinber skrá. Því sé samkeyrslan heimil á grundvelli 2. mgr. 3. gr. reglugerðar nr. 246/2001.

 

4.

Með bréfi til Ríkisskattstjóra, dags. 27. mars 2013, óskaði Persónuvernd eftir því að embætti hans upplýsti hvort átt hefðu sér stað bréfaskipti milli þess og Creditinfo Lánstrausts hf. varðandi afhendingu skattskrár til fyrirtækisins og sendi þá Persónuvernd afrit af þeim. Þá var óskað eftir að upplýst yrði hvort embættið hefði, við slíka afhendingu, sett skilyrði um hvernig vinna mætti með upplýsingar úr skránni. Ríkisskattstjóri svaraði með bréfi, dags. 10. maí 2013. Þar kemur fram að með bréfi, dags. 19. ágúst 2011, hafi verið fallist á erindi A um heimild til útgáfu skattskráa manna og lögaðila 2010. Jafnframt hafi honum verið afhent eintök skránna með upplýsingum um nafn hvers gjaldanda, heimilisfang, fyrstu sex stafi í kennitölu og álagða skatta og gjöld. Sett hafi verið það skilyrði að skránum yrði skilað til embættisins jafnskjótt og afritun væri lokið en í síðasta lagi innan sex vikna frá móttöku skránna. Hafi A einn haft með útgáfu skattskráa að gera síðastliðna áratugi og viti Ríkisskattstjóri ekki til þess að aðrir hafi staðið fyrir slíkri starfsemi. Útgáfa A hafi verið í bókarformi svo sem upphafleg heimild til birtingar skattskrár hafi staðið til.

 

Fram kemur að Ríkisskattstjóri hefur hins vegar ekki afhent Creditinfo Lánstrausti hf. skattskrá til útgáfu. Þá kemur fram að með bréfi, dags. 14. ágúst 1998, hafi Ríkisskattstjóri synjað Lánstrausti hf., forvera Creditinfo Lánstrausts hf., um aðgang að skránni í því skyni að gera áskrifendum að upplýsingakerfum fyrirtækisins kleift að flett upp upplýsingum eftir nöfnum eða kennitölum. Fjármálaráðuneytið hafi, í kjölfar stjórnsýslukæru Lánstrausts hf., staðfest þá niðurstöðu með úrskurði hinn 4. september 1998 með vísan til þess að ákvörðun um heimild til útgáfu skattskrár samkvæmt 2. mgr. 98. gr. þágildandi laga nr. 75/1981 heyrði undir skattyfirvöld, en þau hefðu ekki tekið ákvörðun um að heimila afhendingu á tölvutæku formi til almennrar birtingar.

 

Einnig vísar Ríkisskattstjóri m.a. til bréfaskipta á árinu 2008 þegar til meðferðar var beiðni Lánstrausts hf. um leyfi Persónuverndar til þess m.a. að nota upplýsingar úr skattskrá til útreiknings á lánshæfismati. Óskaði stofnunin þá eftir afstöðu Ríkisskattstjóra til slíkrar vinnslu og barst svar, dags. 15. febrúar 2008, þess efnis að umrædd útgáfuheimild næði ekki til rafrænnar birtingar. Lyktaði málinu með bréfi Persónuverndar, dags. 3. mars 2008, þar sem minnt var á að það hlutverk stofnunarinnar að veita leyfi til vinnslu fæli ekki í sér að hún gæti skyldað aðila, í þessu tilviki Ríkisskattstjóra, til að láta upplýsingar af hendi í þágu þeirrar vinnslu sem umsókn lyti að.

 

Að auki segir í bréfi Ríkisskattstjóra:

 

„Af framansögðu þykir ljóst vera að það birtingarform sem hér er til umfjöllunar gengur þvert á upphaflegan tilgang löggjafans og afstöðu þeirra stjórnvalda sem hafa látið sig málið varða, þ.e. að sú birting upplýsinga sem skattaðilum er gert að þola með framlagningu álagningarskrár og síðar skattskrár yrði hvað útgáfu skattskrár varðar takmörkuð við hefðbundið pappírsform. Hvarvetna í útgáfu bóka og rita er gerður skýr greinarmunur á hefðbundinni útgáfu á pappír og rafrænni útgáfu þess sama rits. Ríkisskattstjóri telur að bein eða framvirk lögskýring á ákvæði 2. mgr. 98. gr. heimili ekki útgáfu á rafrænu formi. Verður ekki séð að það hafi verið ætlan löggjafans að heimild til útgáfu skattskrár verði látin ná til birtingarforms sem ekki var til á þeim tíma sem ákvæði þetta var lögtekið. Er það skoðun ríkisskattstjóra að ef heimila eigi birtingu af því tagi sem CL hf. fer fram á verði að liggja fyrir skýr og ótvíræð lagaheimild.

 

Ríkisskattstjóra er ennfremur til efs að sá birtingarháttur sem viðhafður er af aðila sem komist hefur yfir skattskrá frá útgefanda hennar teljist útgáfa á skattskrá „í heild eða að hluta“, sbr. lokamálslið 2. mgr. 98. gr. laga nr. 90/2003, um tekjuskatt. Aukinheldur er vert að setja spurningarmerki við að sá framgangsmáti að einstakar upplýsingar úr skattskrá séu tengdar við aðrar skrár, og þar með allt annað en útgáfa á hefðbundinni skattskrá, teljist venjuhelguð útgáfa svo sem áratuga framkvæmd hefur verið háttað og skattaðilar hafa mátt una við frá upphafi. Að endingu er rétt að árétta að CL hf. hefur ekki fengið heimild ríkisskattstjóra til útgáfu á skattskrá með þessum hætti.“

 

5.

Með bréfi, dags. 15. maí 2013, veitti Persónuvernd Creditinfo Lánstrausti hf. færi á að tjá sig um framangreind svör Ríkisskattstjóra. Fyrirtækið svaraði með bréfi, dags. 31. maí 2013. Þar kemur fram að það hafi keypt skattskrá af áðurnefndum A sem gefið hefur hana út með samþykki Ríkisskattstjóra eins og fyrr greinir. Af bréfi Ríkisskattstjóra verði ráðið að A hafi ekki verið sett nein skilyrði varðandi notkun skattskrár, en engu að síður lýsi embættið skoðunum sínum á því með hvaða hætti birta megi upplýsingar úr skránni, sem og notkun þeirra.

 

Einnig segir m.a. að með lögum nr. 7/1984 hafi löggjafinn tekið af allan vafa um heimild til birtingar og útgáfu skattskrár, en tilgangurinn hafi verið að heimila birtingu upplýsinga í skattskrá til að „skapa bæði gjaldendum og skattyfirvöldum virkt aðhald“ líkt og sagði í nefndaráliti fjárhags- og viðskiptanefndar, dags. 13. desember 1983, auk þess sem mikilvægt væri að þrengja ekki rétt almennings að umræddum upplýsingum. Þá segir:

 

„Með hliðsjón af framangreindu verður ekki séð að rafræn birting upplýsinga úr skattskrá gangi þvert gegn tilgangi löggjafans líkt og haldið er fram af hálfu RSK. Á tímum internets, rafrænna miðla og rafrænna/pappírslausra viðskipta má ljóst vera að rafræn útgáfa skattskrár er betur til þess fallin að einstaklingar geti nýtt sér lögbundinn rétt sinn til aðgangs að skattskrárupplýsingum. Þannig styðji rafræn birting betur við tilgang laga nr. 7/1984 og er líklegri til að skapa „virkt aðhald“.“

 

Með vísan til framangreinds segir að túlkun Ríkisskattstjóra leiði til þess að aðgengi að upplýsingum skapi ekki það aðhald sem bæði embættinu og gjaldendum sé ætlað að þola. Nú á dögum sé það svo að fólk kjósi að sækja upplýsingar með rafrænum hætti en skeyti síður um rétt sinn ef afla þurfi upplýsinga á pappírsformi þar sem slíku fylgi aukin fyrirhöfn. Að auki er bent á að Ríkisskattstjóri birti árlega lista yfir þá einstaklinga sem hafa þurft að þola hæstu skattálagninguna á landinu öllu, þ. á m. kennitölur þeirra. Segir að slíkar upplýsingar séu birtar rafrænt á heimasíðu embættisins, auk þess sem það sendi út fréttatilkynningu þessa efnis. Hér sé um að ræða rafræna vinnslu á upplýsingum úr álagningarskrá sem um gildi þrengri reglur en um skattskrá og sé með ólíkindum að Ríkisskattstjóri, sem viðhefur þessa vinnslu, skuli jafnframt halda því fram að umrædd vinnsla Creditinfo Lánstrausts hf. sé brot á lögum. Virðist sem röksemdir Ríkisskattstjóra byggist á lagatúlkun sem taki mið af því hver á hlut að máli, en á slíkt sé ekki unnt að fallast. Þá segir m.a.:

 

„Félagið telur tilvísanir embættisins til „framvirkra lögskýringa“ haldlausar. Meginreglan í skattalögum er sú að tilteknar skattaupplýsingar séu opinberar og heimilt sé að gefa slíkar upplýsingar út í heild eða að hluta. Frávik frá þeirri reglu beri að skýra þröngt. Hvernig upplýsingarnar eru gerðar opinberar getur ekki skipt máli, annaðhvort eru upplýsingarnar opinberar eða ekki. Aðrar lögskýringar fái ekki stoð í lögum nr. 77/2000 né í lögum nr. 90/2003. Þá staðfestir birting RSK á upplýsingum um tekjuhæstu einstaklingana að rafræn vinnsla og birting sé heimil.

 

Þegar skattalögum sleppir þá taka við ákvæði persónuverndarlaga. Félagið hefur ótvírætt heimild til að vinna með opinberar upplýsingar og samtengja opinberar upplýsingar, sbr. 2. mgr. 3. gr. rgg. nr. 246/2001 sem veitir félaginu heimild til að vinna með „upplýsingar um nafn manns eða lögaðila, heimilisfang, kennitölu, félagsform, stöðu og atvinnu eða aðrar upplýsingar sem hægt er að fá úr opinberum skrám“ líkt og orðrétt segir í ákvæðinu. Í máli þessu greinir aðila ekki á um að skattskrá sé opinber skrá, sbr. 98. gr. laga nr. 90/2003. Þá gilda tilteknar reglur um starfsemi félagsins sem er ætlað að koma í veg fyrir að misfarið sé með gögn.“

 

Í niðurlagi bréfs Creditinfo Lánstrausts hf. segir að upplýsingar úr skattskrá séu mikilvægar við könnun á lánstrausti í viðskiptum og mati á lánshæfi, sbr. m.a. 10. gr. laga nr. 33/2013 um neytendalán. Í samræmi við það nýti viðskiptavinir fyrirtækisins upplýsingar úr skránni í tengslum við lánveitingar. Þá segir m.a. að fyrirtækið gangi skemur en 2. mgr. 98. gr. laga nr. 90/2003 heimili þar sem upplýsingarnar séu eingöngu aðgengilegar viðskiptavinum þess en ekki öllum almenningi.

 

II.

Forsendur og niðurstaða

1.

Gildissvið

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Þá gilda lögin einnig um vinnslu upplýsinga um fjárhagsmálefni og lánstraust lögaðila, sbr. 3. mgr. 6. gr. og 2. mgr. 45. gr. laganna en það mál sem hér er til úrlausnar lýtur einungis að meðferð upplýsinga um einstaklinga. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

 

2.

Heimild til vinnslu

Svo að vinnsla persónuupplýsinga sé heimil þarf að vera fullnægt einhverju skilyrðanna sem mælt er fyrir um í 8. gr. laga nr. 77/2000. Sá sem fer með ákvörðunarvald í tengslum við vinnslu þarf að ganga úr skugga um að svo sé áður en hann hefur vinnslu, en þar er átt við ábyrgðaraðila að vinnslu persónuupplýsinga, sbr. 4. tölul. 2. gr. laga nr. 77/2000.

 

Ábyrgðaraðili er nánar tiltekið sá sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Fyrir liggur að Creditinfo Lánstraust hf. átti frumkvæði að því að afla upplýsinga úr skattskrá ársins 2010 og gera þær aðgengilegar þeim lögaðilum sem eru áskrifendur að upplýsingakerfum félagsins. Af því leiðir jafnframt að fyrirtækið telst vera ábyrgðaraðili í framangreindum skilningi.

 

Á meðal framangreindra heimilda 8. gr. laga nr. 77/2000 er m.a. að vinnslan sé nauðsynleg til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra, sbr. 7. tölul. 1. mgr. Eins og fram kemur í athugasemdum við ákvæðið í því frumvarpi, sem varð að lögum nr. 77/2000, er ekki nauðsynlegt að um sé að ræða hagsmuni ábyrgðaraðila sjálfs eða þess þriðja manns sem tekur við upplýsingunum og því getur ákvæðið átt við þótt um hagsmuni annarra sé að ræða. Ávallt er þó skilyrði að hagsmunir séu lögvarðir.

 

Þegar vinnsla persónuupplýsinga er heimiluð með lögum og er innan ramma lagaheimildarinnar ber að líta svo á að fullnægt sé skilyrðinu um lögmæta hagsmuni í 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, sbr. og til hliðsjónar 2. tölul. 1. mgr. 9. gr. sömu laga, þess efnis að vinna megi með viðkvæmar persónuupplýsingar á grundvelli sérstakrar lagaheimildar.

 

Í 2. mgr. 98. gr. laga nr. 90/2003 um tekjuskatt segir: „Heimil er opinber birting á þeim upplýsingum um álagða skatta, sem fram koma í skattskrá, svo og útgáfa þeirra upplýsinga í heild eða að hluta.“ Samhljóða ákvæði var upphaflega sett með lögum nr. 7/1984 um breytingu á þágildandi lögum nr. 75/1981 um tekjuskatt og eignarskatt. Í breytingatillögu við það frumvarp, sem varð að lögum nr. 7/1984, eru raktar forsendurnar fyrir setningu umrædds ákvæðis, þ.e. með tilvísun til frumvarps sem áður hafði verið lagt fram með tillögu um umrætt ákvæði en hafði ekki hlotið afgreiðslu. Nánar tiltekið er vísað til þess að tölvunefnd hafði álitið lagaheimild skorta til útgáfu skattskrár. Af þeirri ástæðu hefði sá aðili (þ.e. B), sem haft hafði útgáfuna með höndum, ekki heimild til slíkrar útgáfu fyrir árið 1982. Þá segir að ótvírætt sé að birting upplýsinga úr skattskrá og útgáfa hennar í heild sé til þess fallin að skapa bæði gjaldendum og skattyfirvöldum virkt aðhald. Mikilvægt sé að aðgangur almennings að skránni sé ekki þrengdur og þar með tekið fyrir þá umræðu um skattamál er gjarnan fylgi birtingu umræddra upplýsinga.

 

Framangreind lagaheimild felur í sér íhlutun í réttinn til friðhelgi einkalífs, sem nýtur verndar 71. gr. stjórnarskrárinnar og 8. gr. mannréttindasáttmála Evrópu. Undantekningar frá þeim grundvallarrétti ber að túlka þröngt. Fyrir liggur að Creditinfo Lánstraust hf. hefur afritað upplýsingar úr skattskrá í því skyni að selja þær áskrifendum sínum í viðskiptalegum tilgangi, þ.e. til að meta lánshæfi manna. Þá hafa upplýsingar verið seldar til nota í þágu markaðssetningarstarfsemi, en fyrir liggur þó að Creditinfo Lánstraust hf. hyggst láta af því. Framangreind notkun umræddra upplýsinga felur ekki í sér birtingu eða útgáfu í þágu aðhalds með gjaldendum og skattyfirvöldum eða til að stuðla að umræðu um skattamál. Creditinfo Lánstraust hf. hefur vísað til 2. mgr. 3. gr. reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, sbr. 45. gr. laga nr. 77/2000. Í umræddu reglugerðarákvæði er mælt fyrir um heimild fjárhagsupplýsingastofu til að vinna með upplýsingar sem hægt er að fá úr opinberum skrám, en þar er átt við skrár sem gerðar eru aðgengilegar almenningi. Af 2. mgr. 98. gr. laga nr. 90/2003 leiðir að skattskrá telst einungis vera opinber skrá innan þess ramma sem ákvæðið setur. Eins og fyrr er lýst fellur fyrrgreindur tilgangur Creditinfo Lánstrausts hf. með sölu upplýsinga úr skránni ekki innan þess ramma og er ljóst að reglugerðarákvæði geta ekki víkkað hann út. Er Creditinfo Lánstrausti hf. því óheimil umrædd vinnsla upplýsinga úr skattskrá og ber að láta af henni.

 

 

Á k v ö r ð u n a r o r ð:

 

Creditinfo Lánstraust hf. skal láta af miðlun upplýsinga um einstaklinga úr skattskrá til áskrifenda sinna til nota við lánshæfismat og markaðssetningu.