Ólögmæt uppfletting í vanskilaskrá

18.11.2013

Úrskurður

 

Á fundi stjórnar Persónuverndar þann 12. nóvember 2013 var kveðinn upp svohljóðandi úrskurður í máli nr. 2013/898:

 

I.

Málavextir og bréfaskipti

Hinn 30. júlí 2013 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur „kvartandi“), dags. s.d., yfir vinnslu persónuupplýsinga um hann hjá Tryggingamiðstöðinni hf. (TM). Í kvörtuninni kemur fram að sambýliskona hans hafi óskað eftir að fá tilboð í tryggingar en verið synjað um tryggingu á grundvelli þess að nafn hans væri á skrá Creditinfo Lánstrausts hf. um fjárhagsmálefni og lánstraust einstaklinga. Kvartandi hafi hins vegar ekki óskað eftir tryggingum, enda sé hann ekki eigandi þeirrar fasteignar sem ráðgert var að tryggja. Þá hafi ekki verið óskað eftir samþykki kvartanda fyrir umræddri vinnslu persónuupplýsinga.

Með bréfi, dags. 9. ágúst 2013, veitti Persónuvernd TM færi á að tjá sig um framangreinda kvörtun. Svarað var með bréfi, dags. 23. ágúst 2013. Þar segir:

„Eins og leiðir af framangreindu er Tryggingamiðstöðin með aðgang að vanskilaskrá Creditinfo samkvæmt samningi við fyrirtækið. Í þeim samningi kemur m.a. fram að upplýsingar úr skrám Creditinfo eru trúnaðarmál og megi eingöngu nota við könnun á lánstrausti, í tengslum við væntanleg eða yfirstandandi viðskipti áskrifanda, eða lögvarðir hagsmunir að öðru leyti fyrir hendi. Á þessum grundvelli hefur það verið verklagsregla hjá félaginu að þegar unnið er að því að koma á vátryggingarviðskiptum við einstaklinga, séu ekki könnuð vanskil hjá öðrum en þeim sem óska eftir viðskiptum eða þeim sem verða vátryggingartakar af einstökum vátryggingarsamingum gagnvart félaginu.

Þessum viðmiðunum var ekki fylgt í tilviki kvartanda og var því um mistök að ræða af hálfu félagsins, sem eru hörmuð. Er ekki til þess vitað að slíkt hafi hent áður en af gefnu tilefni hefur verið farið yfir þá verkferla hjá félaginu er varða uppflettingar í vanskilaskrá Creditinfo. Jafnframt hefur farið fram kynning á verklaginu gagnvart öllum þeim sem mögulega þurfa vegna starfa sinna fyrir félagið, að nýta upplýsingar úr vanskilaskrá Creditinfo.“

Með bréfi, dags. 24. september 2013, var kvartanda veitt færi á að tjá sig um framangreint svar TM. Hann svaraði með tölvubréfi hinn 7. október 2013 þar sem fram kemur að hann áréttar kvörtun sína.

 II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

 2.

Í 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er mælt fyrir um hvenær vinna má með persónuupplýsingar. Þarf einhverri af kröfum þess ákvæðis ávallt að vera fullnægt við slíka vinnslu, þ. á m. við uppflettingar í skrá Creditinfo Lánstrausts hf. um fjárhagsmálefni og lánstraust einstaklinga, en hún er haldin samkvæmt starfsleyfi frá Persónuvernd, sbr. 2. gr. reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust einstaklinga, sbr. 45. gr. laga nr. 77/2000.

Uppflettingar í framangreindri skrá geta einkum stuðst við 7. tölul. 1. mgr. 8. gr., þess efnis að vinna má með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Við mat á því hvort umrædd uppfletting falli undir það ákvæði hefur lagaleg staða sambýlismaka hvors gagnvart öðrum sérstakt vægi. Nánar tiltekið ber að líta til þeirrar meginreglu í íslenskum rétti að maður ber einn ábyrgð á sínum fjárhagslegu skuldbindingum, enda þótt hann hafi tekið upp óvígða sambúð með öðrum einstaklingi, nema sérstakur löggerningur leiði til annars. Ekkert liggur fyrir í máli þessu um að gerður hafi verið einhver slíkur löggerningur, s.s. að kvartandi hafi gengist í ábyrgð fyrir greiðslu iðgjalda hjá TM. Þá má geta þess að þær reglur um gagnkvæma framfærsluskyldu og takmarkanir á eignarréttindum sem gilda í hjúskap, sbr. m.a. VII. og IX. kafla hjúskaparlaga nr. 31/1993, gilda ekki í óvígðri sambúð.

Að auki hefur komið fram af hálfu TM að umrædd uppfletting á upplýsingum um kvartanda samrýmdist ekki samningi um aðgang að umræddri skrá, sbr. fyrirmæli um slíka samninga í grein 2.8 í því leyfi Persónuverndar til starfrækslu skrárinnar sem í gildi var þegar atvik málsins áttu sér stað, þ.e. leyfi, dags. 19. september 2012 (mál nr. 2012/266).

Þegar litið er til framangreinds telur Persónuvernd 7. tölul. 1. mgr. 8. gr. ekki hafa átt við um umrædda uppflettingu. Þá verður ekki séð að hún hafi fallið undir önnur ákvæði þeirrar greinar og fór hún því í bága við lög nr. 77/2000. Skal TM eigi síðar en 2. desember nk. senda Persónuvernd skriflega lýsingu á því hvernig tryggt verði framvegis að uppflettingar í skrá Creditinfo Lánstrausts hf. um fjárhagsmálefni og lánstraust einstaklinga samrýmist lögum.

Ú r s k u r ð a r o r ð:

Uppfletting Tryggingamiðstöðvarinnar hf. á [A] í skrá Creditinfo Lánstrausts hf. um fjárhagsmálefni og lánstraust einstaklinga, þ.e. af tilefni óskar sambýliskonu hans um tilboð í tryggingar, fór í bága við lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Skal Tryggingamiðstöðin hf. eigi síðar en 2. desember nk. senda Persónuvernd skriflega lýsingu á því hvernig tryggt verði framvegis að uppflettingar í skránni samrýmist lögum.