Uppfletting barnaverndar Reykjavíkur í vanskilaskrá Creditinfo-Lánstrausts hf. – mál nr. 2013/842

2.1.2014

Ákvörðun

Á fundi stjórnar Persónuverndar þann 12. desember 2013 var tekin svohljóðandi ákvörðun í máli nr. 2013/842:

I.

Grundvöllur máls

Málavextir og bréfaskipti

1.

Tildrög máls

Þann 10. maí 2013 barst Persónuvernd bréf Creditinfo Lánstrausts hf., dags. 7. s.m. þar sem óskað var álits Persónuverndar á heimild barnaverndarnefndar Reykjavíkur til að fletta einstaklingi upp í vanskilaskrá vegna máls, sem rekið væri fyrir dómstólum, um forræðissviptingu. Persónuvernd veitti Creditinfo Lánstrausti hf. almennt svar um þær réttarreglur sem gilda um uppflettingu í vanskilaskrá.

Í kjölfarið ákvað stofnunin að hefja frumkvæðisathugun á umræddri vinnslu hjá barnaverndarnefnd Reykjavíkur.

2.

Bréfaskipti

Með bréfi, dags. 22. júlí 2013, var barnaverndarnefnd Reykjavíkur tilkynnt um málið og óskaði Persónuvernd eftir upplýsingum um á hvaða heimild í 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, umrædd uppfletting í vanskilaskrá Creditinfo Lánstrausts hefði byggst. Þá óskaði Persónuvernd jafnframt eftir upplýsingum um hver tilgangur uppflettingarinnar hefði verið og hvernig sá tilgangur samræmdist hlutverki vanskilaskrár. Loks var óskað eftir upplýsingum um hvernig nefndin hefði gætt að ákvæðum 7. gr. laga nr. 77/2000 þegar viðkomandi einstaklingi var flett upp í skránni.

Svarbréf barnaverndarnefndar Reykjavíkur barst þann 20. ágúst 2013, dagsett 15. s.m. Þar kom m.a. fram að sýslumannsembættið í Kópavogi hefði afhent nefndinni umbeðnar upplýsingar um stöðu opinberra gjalda tiltekins einstaklings en í bréfinu var upplýsingaöflunin sögð byggja á 44. gr. barnaverndarlaga nr. 80/2002 sem hefði að geyma „mjög rúma heimild til að óska eftir upplýsingum sem máli geta skipt við meðferð barnaverndarmála“, eins og segir í bréfinu. Þá er staðhæft að umræddar upplýsingar hafi verið „nauðsynlegar vegna meðferðar barnaverndarmáls“.

Með bréfi, dags. 2. október sl. óskaði Persónuvernd frekari skýringa frá barnaverndarnefnd Reykjavíkur en í svarbréfi nefndarinnar frá 15. ágúst hefði ekki verið svarað fyrirspurn um uppflettingu einstaklings í vanskilaskrá Creditinfo Lánstrausts hf. Ítrekaði Persónuvernd því ósk sína um svör við þeim spurningum sem áður höfðu verið settar fram í bréfi, dags. 22. júlí 2013, um á hvaða lagaheimild umrædd uppfletting í vanskilaskrá grundvallaðist, hver hefði verið tilgangur hennar, hvernig sá tilgangur hefði samrýmst hlutverki vanskilaskrár og hvernig ákvæðum 7. gr. laga nr. 77/2000 hefði verið fullnægt. Þá óskaði Persónuvernd jafnframt skýringa nefndarinnar á því hvort sú framkvæmd væri almennt viðhöfð að birta í bréfum nefndarinnar nöfn og kennitölur þeirra barna, sem verið væri að fjalla um hjá nefndinni hverju sinni, en í svarbréfi nefndarinnar var að finna upplýsingar um nöfn og kennitölur þeirra barna sem mál þetta laut upphaflega að, án þess að séð yrði að sú miðlun þeirra upplýsinga þjónaði tilgangi. Svarfrestur var veittur til 15. október 2013. Persónuvernd ítrekaði ósk sína um svör við framangreindu með bréfi, dags. 22. október sl.

Þann 5. nóvember sl. barst Persónuvernd svarbréf barnaverndarefndar Reykjavíkur, dags. 1. s.m. Þar kemur m.a. fram að Reykjavíkurborg hafi gert áskriftarsamning við Creditinfo Lánstrausts hf. og að Reykjavíkurborg hafi m.a. aðgang að einstaklingsskýrslum úr VOG skrá fyrirtækisins. Núgildandi samningur sé frá 21. maí 2013 en í 3. gr. hans komi skýrt fram að upplýsingar úr skrám séu trúnaðarmál og þær megi eingöngu nota við könnun á lánstrausti, í tengslum við væntanleg eða yfirstandandi viðskipti áskrifanda eða þegar lögvarðir hagsmunir eru fyrir hendi að öðru leyti. Þá kemur fram að við nánari yfirferð málsins þyki ljóst að umrædd uppfletting hafi ekki verið heimil miðað við þau skilyrði sem fram koma í starfsleyfi Creditinfo Lánstrausts og áskriftarsamningi. Þá verði ekki talið að heimild til uppflettingar úr vanskilaskrá rúmist innan 44. gr. barnaverndarlaga nr. 80/2002 eða annarra lagaákvæða eins og 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Þá segir í bréfinu að umrædd uppfletting hefði átt sér stað til að hrekja staðhæfingar sem fram komu í gögnum dómsmáls um fjárhagsstöðu aðila málsins og að þrátt fyrir framangreinda annmarka hefði nefndin reynt að uppfylla skilyrði 7. gr. laga nr. 77/2000. Nefndin hafi talið vinnsluna málefnalega og tilgang hennar skýran þar sem verndarandlagið voru þau börn sem dómsmálið varðaði og hagsmunir þeirra til framtíðar. Upplýsingarnar, útprentun úr vanskilaskrá, hafi einvörðungu verið lagðar fram í dómsmálinu enda aflað vegna meðferðar þess og ekki varðveittar með öðrum hætti.

Um birtingu nafna og kennitalna þeirra barna sem mál nefndarinnar laut upphaflega að segir í bréfi hennar að í ljósi þeirrar ríku þagnarskyldu sem hvíli á öllum þeim sem vinni að barnavernd, sbr. 8. mgr. 4. gr. laga nr. 80/2002, um hagi barna, foreldra og annarra sem þeir hafi afskipti af birti nefndin almennt ekki nöfn og kennitölur barna í bréfum sínum og að sú grundvallarregla væri virt í hvívetna. Þá segir að þrátt fyrir ríka þagnarskyldu hafi verið talið nauðsynlegt að veita Persónuvernd framangreindar upplýsingar til að skýra það mál sem hér um ræddi enda væri Persónuvernd eftirlitsstjórnvald í þeirri aðstöðu að geta óskað upplýsinga og skýringa í tengslum við viðkvæm mál sem yrðu ekki takmarkaðar með vísan til þagnarskyldu sbr. 3. mgr. 38. gr. laga nr. 77/2000. Samkvæmt bréfi barnaverndarnefndar Reykjavíkur leit nefndin á stöðu Persónuverndar í þessu tilviki með öðrum hætti en hún gerði almennt og afhenti Persónuvernd umræddar upplýsingar einungis af þeirri ástæðu að nefndin taldi slíkt nauðsynlegt til að skýra eðli og inntak málsins og tryggt væri að stofnunin myndi ekki miðla þeim áfram.

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

2.

Lögmæti

Í 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er mælt fyrir um hvenær vinna má með persónuupplýsingar. Þarf einhverri af kröfum þess ákvæðis ávallt að vera fullnægt við slíka vinnslu, þ. á m. við uppflettingar í skrá Creditinfo Lánstrausts hf. um fjárhagsmálefni og lánstraust einstaklinga, en hún er haldin samkvæmt starfsleyfi frá Persónuvernd, sbr. 2. gr. reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust einstaklinga, sbr. 45. gr. laga nr. 77/2000.

Í núgildandi starfsleyfi Persónuverndar til starfrækslu vanskilaskrár, dags. 19. september 2012 (mál nr. 2012/266), kemur fram í grein 2.1. að fjárhagsupplýsingastofa megi aðeins vinna með persónuupplýsingar sem eðli sínu samkvæmt geta haft þýðingu við mat á fjárhag og lánstrausti hins skráða. Þá segir í grein 2.8. í starfsleyfinu að í áskriftarsamningi sem fjárhagsupplýsingastofa geri við áskrifendur sína skuli m.a. koma fram að í hvert sinn sem áskrifandi geri uppflettingu í vanskilaskrá skuli tilgreina og skrá til hvers það sé gert en það geti t.d. verið til að kanna lánstraust tiltekins einstaklings vegna væntanlegra eða yfirstandandi lánaviðskipta eða vegna greiðslukortaþjónustu.

Við mat á því hvort vinnsla persónuupplýsinga geti talist stjórnvöldum heimil verður að líta til þess að samkvæmt hinni almennu lögmætisreglu stjórnsýsluréttarins er stjórnvöldum aðeins heimilt að aðhafast það sem þeim er sérstaklega heimilað eða boðið í lögum. Af hálfu barnaverndarnefndar Reykjavíkur, sbr. bréf nefndarinnar frá 5. nóvember sl., hefur komið fram að nefndin telji umrædda uppflettingu, sem mál þetta lýtur að, hvorki hafa samrýmst áskriftarsamningi nefndarinnar um aðgang að umræddri skrá, sbr. fyrirmæli um slíka samninga í grein 2.8 í því leyfi Persónuverndar til starfrækslu skrárinnar sem í gildi var þegar atvik málsins áttu sér stað, þ.e. leyfi, dags. 19. september 2012 (mál nr. 2012/266), né rúmast innan heimildar 44. gr. barnaverndarlaga nr. 80/2002.

Með hliðsjón af framangreindu verður uppfletting barnaverndarnefndar Reykjavíkur á á upplýsingum um tiltekinn einstakling í skrá Creditinfo Lánstrausts hf. um fjárhagsmálefni og lánstraust einstaklinga, í tilefni af rekstri barnaverndarmáls fyrir dómi, ekki talin geta stuðst við 3. tölul. 1. mgr. 8. gr. Þá verður ekki séð að hún geti stuðst við önnur ákvæði 1. mgr. 8. gr. og hafi hún því farið í bága við lög nr. 77/2000. Hér með er lagt fyrir barnaverndarnefnd Reykjavíkur að eyða úr skrám sínum þeim upplýsingum sem nefndin hefur aflað um fjárhagsmálefni og lánstraust úr skrám Creditinfo Lánstrausts, í tilefni af rekstri barnaverndarmála fyrir dómi. Skal barnaverndarnefnd Reykjavíkur eigi síðar en 9. janúar 2014 senda Persónuvernd staðfestingu á því að framangreindum gögnum hafi verið eytt ásamt skriflegri lýsingu á því hvernig tryggt verði framvegis að uppflettingar af hálfu nefndarinnar, í skrá Creditinfo Lánstrausts hf. um fjárhagsmálefni og lánstraust einstaklinga, samrýmist lögum.

Við vinnslu persónuupplýsinga skal þess ávallt gætt að hún samrýmist 7. gr. laga nr. 77/2000, þ. á m. reglu 1. tölul. um að þær skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga. Í bréfi frá barnaverndarnefnd Reykjavíkur, dags. 5. nóvember sl., var að finna nöfn og kennitölur þeirra barna sem mál þetta laut upphaflega að. Persónuvernd óskaði ekki eftir þeim upplýsingum og þær verða ekki taldar skipta máli til að skýra eðli og inntak máls þessa sem varðar uppflettingu barnaverndarnefndar í vanskilaskrá. Var miðlun þessara upplýsinga því ekki í samræmi við 1. tölul. 7. gr. laga nr. 77/2000.

Á k v ö r ð u n a r o r ð:

Uppfletting barnaverndarnefndar Reykjavíkur á upplýsingum um tiltekinn einstakling í skrá Creditinfo Lánstrausts hf. um fjárhagsmálefni og lánstraust einstaklinga, í tilefni af rekstri barnaverndarmáls fyrir dómi, samrýmist ekki ákvæðum laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Skal barnaverndarnefnd Reykjavíkur eigi síðar en 9. janúar 2014 senda Persónuvernd staðfestingu á eyðingu þeirra upplýsinga hjá nefndinni og skriflega lýsingu á því hvernig tryggt verði að uppflettingar í skránni af hálfu hennar muni framvegis samrýmast lögum.