Miðlun upplýsinga til ábyrgðarmanns
Úrskurður
Á fundi stjórnar Persónuverndar þann 29. maí 2015 var kveðinn upp svohljóðandi úrskurður í máli nr. 2015/466:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Þann 12. mars 2015 barst Persónuvernd kvörtun frá [A] (hér eftir nefnd kvartandi), vegna miðlunar persónuupplýsinga um hana frá Lánasjóði íslenskra námsmanna (hér eftir skammstafað LÍN) til [B]. Í kvörtuninni segir m.a. að hún sé skuldari að námsláni hjá LÍN og að hún hafi lokið námi árið [19XX]. Hafi faðir hennar verið ábyrgðarmaður lánsins þangað til hann lést árið [19XX]. Þá hafi kvartandi ávallt staðið í skilum á láninu og aldrei verið í vanskilum. Fyrr á þessu ári hafi systir hennar fengið bréf frá LÍN þar sem fram kom að hún væri ábyrgðarmaður lánsins og hver staðan á láninu væri nú. Telur kvartandi að LÍN sé ekki heimilt að miðla slíkum upplýsingum án þess að ganga úr skugga um að þau varði sannanlega þann aðila sem upplýsingunum er miðlað til.
Með kvörtuninni fylgdi afrit af bréfi LÍN til [B], systur kvartanda, dags. [X]. febrúar 2015. Í því bréfi bendir lánasjóðurinn [B] á að hún hafi sem erfingi [C] tekið á hendur ábyrgð á skuldbindingum hans. Þá segir að núvirði ábyrgðarinnar þann 2. janúar 2015 hafi verið kr. [X], og að lánið hafi þann dag verið í skilum og ábyrgð hennar því ekki orðin virk.
2.
Bréfaskipti
Með bréfi, dags. 19. mars 2015, var LÍN boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Var þess einkum óskað að fram kæmi sú heimild sem LÍN byggir umrædda miðlun persónuupplýsinga á samkvæmt ákvæði 1. mgr. 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Var svarfrestur veittur til 7. apríl. Engin svör bárust og var erindið því ítrekað með bréfi, dags. 14. apríl 2015, og svarfrestur veittur á ný til 29. apríl 2015.
Svarbréf LÍN, dags. 16. apríl 2015, barst Persónuvernd sama dag.
Um málavexti segir m.a.:
„[C] sem var ábyrgðarmaður á lánum [A] lést þann [X] og í kjölfarið var búi [C] skipt með einkaskiptum. Skv. 52. gr. laga um skipti á dánarbúum og félagsbúum, ofl. nr. 3/1878, sbr. núgildandi 97. gr. laga um skipti á dánarbúum nr. 20/1991, tókust erfingjar [C] á hendur allar eignir og skuldir sem hvílt höfðu á dánarbúinu, þar með talið ábyrgðir á námslánum hjá LÍN. Þar af leiðandi var [B] orðin ábyrgðarmaður á námsláni [A] sem [C] hafði áður verið ábyrgðarmaður á.“
Um heimild til vinnslu segir m.a.:
„Sem ábyrgðarmaður á láni [A] hafði [B] lögvarða hagsmuni af því að fá upplýsingar um ábyrgðina. Skv. 7. gr. laga um ábyrgðarmenn nr. 32/2009 skal lánveitandi senda ábyrgðarmanni tilkynningu eftir hver áramót með upplýsingum um stöðu láns sem ábyrgð stendur fyrir og yfirliti yfir ábyrgðir.
Með sendingu bréfs þess sem [A] vísar til var Lánasjóður íslenskra námsmanna að uppfylla lögboðna skyldu sína samkvæmt lögum um ábyrgðarmenn. Þær upplýsingar sem veittar voru í bréfinu fóru ekki út fyrir það sem [B] hafði lögvarða hagsmuni til að vera upplýst um og telur LÍN því að sending bréfsins hafi að öllu leyti verið í samræmi við lög.“
Með bréfi, dags. 21. apríl 2015, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar LÍN til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Var svarfrestur veittur til 6. maí 2015, en engin svör bárust.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að umrædd miðlun persónuupplýsinga um kvartanda frá LÍN til ábyrgðarmanns að láni hjá sjóðnum fól í sér vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
2.
Lögmæti vinnslu
og niðurstaða
Öll vinnsla persónuupplýsinga verður að samrýmast einhverju af skilyrðum 8. gr. laga nr. 77/2000. Samkvæmt 3. tölul. 1. mgr. 8. gr. er vinnsla heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila og samkvæmt 6. tölul. er vinnsla heimil sé hún nauðsynleg við beitingu opinbers valds. Jafnframt er vinnsla heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra.
Í skýringum LÍN hefur meðal annars komið fram að bú föður kvartanda hafi verið skipt með einkaskiptum. Tókust erfingjar hans á hendur allar eignir og skuldir sem hvíldu á því búi, þar með talið ábyrgðir á námslánum hjá LÍN, sbr. ákvæði 97. gr. laga nr. 20/1991 um skipti á dánarbúum. Þar sem Persónuvernd bárust ekki andmæli frá kvartanda varðandi framangreint verður litið svo á að [B] sé lögmætur ábyrgðarmaður að láni kvartanda hjá LÍN.
Samkvæmt ákvæði 1. mgr. 2. gr. laga nr. 32/2009 um ábyrgðarmenn gilda þau um lánveitingar stofnana og fyrirtækja þar sem ábyrgðarmaður gengst í ábyrgð til tryggingar efndum lántaka. Stofnanir og fyrirtæki geta m.a. verið Lánasjóður íslenskra námsmanna. Af framangreindu leiðir að LÍN ber að fylgja ákvæðum þeirra laga í samskiptum sínum við ábyrgðarmenn lána. Í d-lið 7. gr. laganna segir að lánveitandi skuli senda ábyrgðarmanni tilkynningu skriflega svo fljótt sem kostur er eftir hver áramót með upplýsingum um stöðu láns sem ábyrgð stendur fyrir og yfirliti yfir ábyrgðir.
Með vísun til framangreinds telur Persónuvernd að LÍN hafi verið heimilt að miðla upplýsingum um lán kvartanda og stöðu þess til ábyrgðarmanns þess, [B], í þeim tilgangi að uppfylla þær skyldur sem á henni hvíla samkvæmt lögum. Af þeirri ástæðu telst miðlun LÍN uppfylla skilyrði 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000.
Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er meðal annars mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.).
Af gögnum þessa máls verður ekki ráðið að lánasjóðurinn hafi sent óáreiðanlegar upplýsingar um lánið eða frekari upplýsingar um lánið en þörf var á miðað við ákvæði d-liðar 1. mgr. 7. gr. laga nr. 32/2009. Var miðlun upplýsinga frá LÍN um að það hafi verið í skilum á þeim tíma sem tilkynningin var send og um upphæð eftirstöðva námsláns kvartanda um síðustu áramót því í samræmi við ákvæði 1. mgr. 7. gr. laga nr. 77/2000.
Þó var kvartandi aldrei í vanskilum með lánið og því varð ábyrgð ábyrgðarmanns aldrei virk. Gefur það til kynna að LÍN hafi aldrei þurft að hafa samskipti við ábyrgðarmann lánsins vegna vanskila lántaka. Þá hvíldi ekki lagaleg skylda á LÍN um að tilkynna ábyrgðarmanni um stöðu láns um hver áramót, sbr. áðurnefnt ákvæði d-liðar 1. mgr. 7. gr. laga nr. 32/2009, fyrr en eftir gildistöku þeirra laga, n.t.t. eftir þann 4. apríl 2009. Liðu því nær sex ár frá því að lánasjóðnum var gert skylt með lögum að tilkynna ábyrgðarmanni um stöðu láns þar til slík tilkynning var send í febrúar 2015. Það hvort slíkur dráttur á upplýsingagjöf hafi samrýmst stjórnsýslulögum eða vönduðum stjórnsýsluháttum fellur ekki í hlut Persónuverndar að meta, heldur heyrir það undir embætti umboðsmanns Alþingis.
Ú r s k u r ð a r o r ð:
Miðlun upplýsinga um stöðu námsláns kvartanda frá LÍN til ábyrgðarmanns lánsins var í samræmi við lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.