Uppfletting í vanskilaskrá heimil
Úrskurður
Á fundi stjórnar Persónuverndar þann 29. maí 2015 var kveðinn upp svohljóðandi úrskurður í máli nr. 2014/1397:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Þann 13. október 2014 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) vegna uppflettingar Íslandsbanka hf. í vanskilaskrá Creditinfo Lánstrausts hf. (hér eftir Creditinfo), um upplýsingar um fjárhagsmálefni og lánstraust einstaklinga í því skyni að miðla þeim til annarra. Í kvörtuninni segir m.a.:
„Samkvæmt upplýsingum frá Creditinfo, fletti Íslandsbanki upp nafni mínu vegna vanskilaskrár. Ástæða var ekki tiltekin, sem er lögbrot. Ég er ekki í neinum viðskiptum við bankann og skil ekki ástæðu þessarar uppflettingar þeirra, gæti verið forvitni.“
2.
Bréfaskipti
Með bréfi, 21. nóvember 2014, var Íslandsbanka hf. tilkynnt um kvörtunina og boðið að koma á framfæri skýringum vegna hennar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993.
Svarbréf Íslandsbanka, dags. 1. desember 2014, barst Persónuvernd þann 4. desember s.á. Í bréfinu segir að kvartandi sé, ólíkt því sem hann heldur fram, í viðskiptum við Íslandsbanka hf., sem reikningseigandi, kreditkorthafi, lántaki og ábyrgðarmaður. Enn fremur segir þar að viðkomandi uppfletting starfsmanns Íslandsbanka í skrá Creditinfo hafi tengst málaferlum og innheimtu vanskilaskulda, þ.e. í máli þar sem kvartandi hafi stefnt bankanum til að hnekkja skuldajöfnuði sem bankinn hafði lýst yfir gagnvart honum. Þá kemur fram að Íslandsbanki telji vinnsluna ekki brjóta í bága við lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, enda hafi hún verið nauðsynleg til að bankinn gæti gætt lögmætra hagsmuna sinna í tengslum við framangreind málaferli. Innri endurskoðun Íslandsbanka hafi ekki gert athugasemdir vegna uppflettingar starfsmanns bankans í vanskilaskrá Creditinfo vegna þessa.
Með bréfi, dags. 16. desember 2014, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Íslandsbanka hf. til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993.
Svar kvartanda barst Persónuvernd með tölvupósti þann 19. desember 2014. Þar kemur fram að kvartandi hafi hætt öllum viðskiptum við bankann á miðju ári 2012 en þá hafi öllum reikningum verið lokað og skuldir afskrifaðar. Kvartandi hafi verið með bílasamning við Ergo - fjármögnunarþjónustu Íslandsbanka, sem hafi ráðstafað leiðréttingu á bílasamningi til lækkunar á afskrifuðum kröfum Íslandsbanka hf. en ekki til lækkunar á bílasamningi kvartanda. Þeirri ráðstöfun hafi kvartandi mótmælt. Í svarbréfinu óskar kvartandi eftir upplýsingum um hvaða starfsmaður fletti honum upp og í hvaða tilgangi. Hann telur brýnt að gæta hagsmuna sinna og telur að upplýsingar sem Creditinfo Lánstraust hf. hafi yfir að ráða séu auðfengnar og að íslenskir bankar hafi margsinnis verið uppvísir að misnotkun þeirra.
Með tölvupósti, dags. 28. janúar 2015, óskaði Persónuvernd eftir nánari upplýsingum frá kvartanda um það hvort hann stæði í málaferlum við Íslandsbanka hf. Svarbréf kvartanda barst Persónuvernd með tölvupósti samdægurs. Þar segir að kvartandi hafi verið í málaferlum við Ergo - fjármögnunarþjónustu Íslandsbanka en ekki við bankann. Það mál hafi hins vegar fallið niður þar sem kvartandi hafi selt bifreiðina og gert upp lánið.
Með tölvupósti, dags. 16. febrúar 2015, óskaði Persónuvernd eftir upplýsingum frá kvartanda um það hvaða dag hann hefði höfðað mál gegn Ergo og hvaða dag því hefði lokið. Svar kvartanda barst með tölvupósti þann 24. febrúar 2015. Þar segir að málið hafi verið þingfest [X]. maí 2014 og fellt niður [X]. nóvember s.á.
Með tölvupósti, dags. 16. febrúar 2015, óskaði Persónuvernd jafnframt eftir nánari upplýsingum frá Íslandsbanka um það hvaða dag uppfletting á nafni kvartanda í umræddri skrá Creditinfo hafi átt sér stað og hvort að upplýsingar um niðurstöðu þeirrar uppflettingar væru vistaðar hjá Íslandsbanka. Svar Íslandsbanka barst með tölvupósti þann 23. febrúar 2014. Þar segir að kvartanda hafi verið flett upp fjórum sinnum í skránni, n.t.t. [X]. janúar 2014, [X]. og [X]. febrúar s.á. og [X]. september s.á. Þá segir að uppflettingarnar hafi farið fram í viðskiptakerfum bankans, niðurstöður hafi hvorki verið vistaðar né prentaðar út.
Með bréfi, dags. 10. mars 2015, óskaði Persónuvernd frekari skýringa frá Íslandsbanka varðandi uppflettingar á nafni kvartanda í vanskilaskrá Creditinfo. Óskaði stofnunin eftir upplýsingum um tilgang sérhverrar þeirra fjögurra uppflettinga, sem bankinn staðfesti með tölvupósti að hefðu farið fram, auk þess sem óskað var upplýsinga um það hvers vegna tilgangur uppflettinganna hefði ekki verið tilgreindur í samræmi við grein 2.8. í starfsleyfi Creditinfo. Þá óskaði stofnunin upplýsinga um það hvernig umræddar uppflettingar komu að gagni í málaferlum við kvartanda og við innheimtu vanskilaskulda.
Í svarbréfi Íslandsbanka, dags. 17. mars 2015, kemur m.a. fram að uppflettingar á stöðu kvartanda frá [X]. janúar , [X]. og [X]. febrúar 2014 hafi farið fram í gegnum innheimtukerfi lögmanna, svokallað IL+ kerfi, í þeim tilgangi að kanna stöðu hans sem viðskiptamanns bankans vegna innheimtukrafna á hendur honum. Þær upplýsingar hafi verið vistaðar með málum sem eru á kröfuvakt gagnvart honum, skv. hefðbundnu verklagi. Í gegnum IL+ kerfið sé þessi tilgangur skráður í samræmi við starfsleyfi Creditinfo en staða viðkomandi í vanskilaskrá við tiltekna uppflettingu sé ekki skráð í kerfið. Þessar uppflettingar hafi ekki tengst málarekstri kvartanda gegn bankanum. Þá kemur fram að uppfletting frá [X]. september 2014 hafi hins vegar tengst fyrrnefndu dómsmáli er varðaði kröfu kvartanda um að skuldajöfnuði, sem bankinn hafði lýst yfir gagnvart honum, yrði hnekkt. Uppflettingin hafi farið fram í þeim tilgangi að sannreyna hvort tilteknar kröfur sem bankinn nýtti til skuldajafnaðar væru niður fallnar, eins og kvartandi hélt fram, en gögn bankans sem og upplýsingar í Lögbirtingablaðinu höfðu ekki haft að geyma upplýsingar um ástæður þess að umræddar kröfur gætu verið niður fallnar. Tilgangur uppflettingarinnar hafi því verið að kanna með fullri vissu hvort fullyrðing kvartanda væri rétt og hvort mögulega væri tilefni til að fallast á kröfur hans í málinu. Uppflettingin hafi nýst bankanum á þá leið að fullyrðing kvartanda hafi reynst röng og hafi málalyktir orðið með þeim hætti að kvartandi hafi fellt málið niður og verið dæmdur til að greiða bankanum málskostnað. Í ljósi framangreinds telji Íslandsbanki uppflettingarnar hafa samrýmist lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.
Hvað varðar skráningu á tilgangi uppflettingarinnar þann [X]. september 2015 segir í bréfi Íslandsbanka að sé ekki hægt að fletta upp í vanskilaskrá í gegnum kerfi bankans nema að tilgangur uppflettingarinnar sé skráður. Fari sú skráning fram með því að valið sé úr fellilista hver sé ástæða viðkomandi uppfelttingar. Sá tilgangur sem hafi verið skráður vegna framangreinds dómsmáls hafi verið „önnur ástæða, enginn hinna svarmöguleikanna á við“. Þegar að sá tilgangur sé skráður sé unnt að afla nánari skýringa hjá banaknum sé þess óskað, enda séu þær upplýsingar tiltækar hjá bankanum sjálfum.
Með bréfi, dags. 21. apríl 2015, var kvartanda gefinn kostur á að koma á framfæri athugasemdum sínum við framkomnar skýringar Íslandsbanka hf. Var svarfrestur veittur til 5. maí en engin svör bárust.
Þá óskaði Persónuvernd einnig eftir afstöðu Creditinfo, með bréfi, dags. 21. apríl 2015, til framangreindra uppflettinga Íslandsbanka hf. Nánar tiltekið óskaði Persónuvernd eftir því hvort að fyrirtækið teldi að bankinn hefði farið að skilmálum þess hvað varðar uppflettingar í vanskilaskrá og það að nota umræddan valmöguleika í tengslum við rekstur dómsmáls. Svarbréf Creditinfo, dags. 30. apríl 2015, barst Persónuvernd s.d.
Í bréfi Creditinfo kemur fram að fyrirtækið taki undir þau sjónarmið Íslandsbanka að umræddar uppflettingar hafi þjónað lögmætum hagsmunum bankans. Að mati félagsins hafi Íslandsbanki ekki getað kannað fullyrðingar kvartanda með vægari hætti eftir að búið hafi verið að leita árangurslaust eftir upplýsingum í Lögbirtingarblaði. Þá telur félagið einnig að bankinn hafi haft lögmæta hagsmuni af uppflettingunni, m.a. með hliðsjón af sjónarmiðum um skuldajöfnuð.
Hvað varðar skráningu bankans á tilgangi uppflettingar segir um í svari Creditinfo að ekki sé hægt að útbúa lista þar sem allir hugsanlegir valmöguleikar séu tilgreindir. Hins vegar sé gert ráð fyrir að hægt sé að skrifa skýringu á tilgangi uppflettingar í þar til gerðan textareit ef og þegar áskrifendur velja ástæðulykilinn „önnur ástæða, enginn hinna svarmöguleikanna á við“ við uppflettingu í skránni, í þeim tilgangi að greina frá tiltekinni ástæðu uppflettingar þegar hún fellur ekki undir almenna, fyrirfram gefna valmöguleika.
Loks segir í bréfi Creditinfo að fyrirtækið hafi haft samband við bankann og spurst fyrir um hvort starfsmönnum hans væri kunnugt um framangreint, og ef svo væri, hvers vegna nánari ástæða uppflettingarinnar hafi ekki verið gefinn upp. Í ljós hafi komið að umræddur textareitur birtist ekki notendum bankans þegar fyrrnefndur ástæðulykill sé valinn. Creditinfo telji því að bankinn hafi valið réttan ástæðulykil, en að teknu tilliti til þess að textareiturinn birtist ekki, hafi notandi bankans ekki útskýrt ástæðu uppflettingarinnar nánar. Þá telur Creditinfo rétt að taka fram að hingað til hafi þetta ekki komið í veg fyrir að bankinn geti rakið ástæður slíkra uppflettinga, sé þeirra óskað síðar meir. Engu að síður hafi það ótvíræða kosti að nánari útskýringar komi fram við framkvæmd uppflettingarinnar sjálfrar, líkt og gert sé ráð fyrir hvað umræddan ástæðulykil varðar, bæði fyrir þann sem flett er upp og bankann sömuleiðis. Creditinfo muni finna út hvað valdi því að umræddur textareitur komi ekki upp hjá Íslandsbanka og lagfæra um leið og orsök finnst.
Með tölvupósti, dags. 19. maí 2015, staðfesti Creditinfo enn fremur að notendum væri ekki gert skylt að fylla út í umræddan textareit þegar að framangreindur valmöguleiki er notaður.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.
Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Íslandsbanki hf. vera ábyrgðaraðili að umræddri vinnslu. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000. Af framangreindu er ljóst að sú aðgerð, að fletta kvartanda upp í vanskilaskrá Creditinfo, felur í sér vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Creditinfo vera ábyrgðaraðili vanskilaskrár, en Íslandsbanki hf. telst vera ábyrgðaraðili að þeirri vinnslu sem kvörtunin varðar, þ.e. uppflettingunni í vanskilaskrá um kvartanda.
2.
Lögmæti uppflettinga um kvartanda hjá Íslandsbanka
Í 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga er mælt fyrir um hvenær vinna má með persónuupplýsingar. Þarf einhverri af kröfum þess ákvæðis ávallt að vera fullnægt við slíka vinnslu, þ. á m. við uppflettingar í skrá Creditinfo um fjárhagsmálefni og lánstraust einstaklinga, þ.e. vanskilaskrá, en hún er haldin samkvæmt starfsleyfi frá Persónuvernd, sbr. 2. gr. reglugerðar nr. 246/2001, um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust einstaklinga, sbr. 45. gr. laga nr. 77/2000. Er framangreint sérstaklega áréttað í grein 2.1. í þágildandi starfsleyfi Persónuverndar til starfrækslu skrárinnar, dags. 19. desember 2013 (mál nr. 2013/1169), sem í gildi var þegar atvik málsins áttu sér stað.
Uppflettingar í framangreindri skrá geta einkum stuðst við 7. tölul. 1. mgr. 8. gr., þess efnis að vinna má með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Í því tilviki sem hér er til skoðunar framkvæmdi Íslandsbanki fjórar uppflettingar í vanskilaskrá. Fyrstu þrjár, [X]. janúar , [X]. og [X]. febrúar 2014, fóru fram í gegnum IL+kerfi Creditinfo og var tilgangur þeirra að kanna stöðu kvartanda sem viðskiptamanns bankans vegna innheimtukrafna á hendur honum. Samkvæmt Íslandsbanka var tilgangur þeirra uppflettinga skráður samkvæmt starfsleyfi Creditinfo. Fjórða og síðasta uppflettingin fór fram þann [X]. september 2014 í þeim tilgangi að sannreyna hvort tilteknar kröfur sem bankinn nýtti til skuldajafnaðar væru niður fallnar. Hins vegar var tilgangur þeirrar uppflettingar eingöngu skráður sem „annað, enginn hinna svarmöguleikanna á við“, án þess að sá tilgangur væri útskýrður nánar.
Við mat á því hvort umræddar uppflettingar falli undir framangreint ákvæði 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 verður að líta til þess hvort að hagsmunir ábyrgðaraðila af því að vinnslan fari fram skuli vega þyngra en hagsmunir hins skráða af því að vinnslan fari ekki fram. Þá verður vinnsla samkvæmt ákvæðinu einnig að vera nauðsynleg. Hvað varðar fyrstu þrjár uppflettingarnar hefur komið fram að þær hafi farið fram í þeim tilgangi að kanna stöðu kvartanda í tengslum við innheimtukröfur gegn honum. Það að lögaðili vinni með upplýsingar í tengslum við innheimtugerninga getur helgast af lögmætum hagsmunum og verið nauðsynlegt, t.a.m. til að geta litið til greiðsluhæfis viðkomandi þegar ákveðið er hvernig staðið skuli að innheimtu krafnanna. Telur Persónuvernd að slík uppfletting sé í samræmi við 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000.
Hvað varðar fjórðu uppflettingu Íslandsbanka verður fyrst að líta til þess að bankinn hafði, áður en kvartanda var flett upp í vanskilaskrá Creditinfo, leitað annarra og vægari leiða til að staðreyna þær fullyrðingar sem kvartandi hafði haldið fram fyrir dómi. Þegar að þær aðgerðir báru ekki árangur, var kvartanda flett upp í vanskilaskrá. Það að lögaðili fletti einstaklingi upp í vanskilaskrá til að staðreyna hvort að kröfur sem bankinn notaði til skuldajafnaðar séu fallnar niður getur einnig helgast af lögmætum hagsmunum, m.a. til að meta hvort rétt sé að fallast á kröfur kvartanda fyrir dómi um að fallið verði frá skuldajöfnuði. Telur Persónuvernd því að uppflettingin hafi verið í samræmi við 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000.
3.
Beiðni um aðgang að upplýsingum um hvaða starfsmaður hafi flett kvartanda upp
Hvað varðar þá kröfu kvartanda að honum verði afhentar upplýsingar um það hvaða starfsmaður hafi flett upp nafni hans í vanskilaskrá Creditinfo, og í hvaða tilgangi, vísast til 18. gr. laga nr. 77/2000. Þar segir að hinn skráði eigi rétt á að fá frá ábyrgðaraðila vitneskju um hvaða upplýsingar um hann er eða hefur verið unnið með, tilgang vinnslunnar, hver fær, hefur fengið eða mun fá upplýsingar um hann, hvaðan upplýsingarnar koma og hvaða öryggisráðstafanir eru viðhafðar við vinnslu, enda skerði það ekki öryggi vinnslunnar.
Í framkvæmd Persónuverndar hefur umrætt ákvæði 18. gr. laga nr. 77/2000 verið túlkað svo að það eigi við um rétt hins skráða til vitneskju um miðlun persónuupplýsinga um hann frá einum ábyrgðaraðila til annars. [...] Það nær hins vegar ekki til vitneskju um hvaða tilteknu starfsmenn hjá einstökum ábyrgðaraðila hafa fengið aðgang að upplýsingum.
Í máli þessu liggur fyrir að kvartandi hefur fengið upplýsingar um atriði sem 18. gr. pul. fjallar um, m.a. um tilgang vinnslunnar og hvaða ábyrgðaraðili fékk upplýsingar úr vanskilaskrá, eins og óskað var eftir. Með vísan til framangreinds getur Persónuvernd ekki fallist á þá kröfu kvartanda að hann fái vitneskju um hvaða starfsmaður hafi flett honum upp í umræddri skrá.
4.
Fyrirmæli
Af hálfu Creditinfo hefur komið fram að þegar notendur áskriftarþjónustu fletti einstaklingum upp í vanskilaskrá beri þeim að skrá tilgang uppflettingarinnar. Það er gert með notkun ástæðulykla sem tilgreina fyrirfram gefna valmöguleika um tilgang uppflettingar. Í tilviki uppflettingarinnar frá [X]. september 2014 var valmöguleikinn „annað, enginn hinna svarmöguleikanna á við“ notaður, án þess að sá tilgangur væri útskýrður nánar í þar til gerðum textareit. Þegar sá valmöguleiki er valinn birtist textareitur þar sem hægt er að skýra nánar tilgang umræddrar uppflettingar. Þá hefur komið fram af hálfu Creditinfo að fyrir mistök hafi umræddur textareitur ekki birst notendum þjónustunnar hjá Íslandsbanka.
Samkvæmt f-lið í grein 2.8. þágildandi starfsleyfis Creditinfo er gerð sú krafa að hinum skráða verði veitt lögskyld fræðsla, m.a. með sendingu tilkynningar um það að ábyrgðaraðili hafi aflað sér upplýsinga um hann. Í því felst einnig að kvartandi fái upplýsingar um tilgang vinnslu, sbr. 2. tölul. 1. mgr. 20. gr. laga nr. 77/2000. Sambærilegt ákvæði er einnig að finna í núgildandi starfsleyfi Creditinfo, dags. 29. desember 2014.
Persónuvernd gerir ekki athugasemdir við þá tilhögun, þ.e. að notendur þjónustunnar geti valið tiltekinn ástæðulykil þegar tilgangur uppflettingar er skráður. Hins vegar telur stofnunin að þegar stuðst er við jafn almennan möguleika og „annað, enginn annarra svarmöguleikanna á við“ verði að gera að skilyrði að notandi útskýri nánar í textareit í hvaða tilgangi uppflettingin fór fram. Að öðru leyti er ekki unnt að tryggja að hinn skráði fái upplýsingar um tilgang vinnslu um hann hjá Creditinfo, sbr. 21. gr. laga nr. 77/2000 og ákvæði/kafli 2.8. í starfsleyfi Persónuverndar. Með vísan til 40. gr. laga nr. 77/2000 leggur Persónuvernd að binda notkun umrædds ástæðulykils því skilyrði.
Þá beinir Persónuvernd þeim fyrirmælum, í samræmi við 40. gr. laga nr. 77/2000, til Creditinfo og Íslandsbanka að tryggja að viðkomandi textareitur birtist starfsmönnum bankans þegar að flett sé upp í vanskilaskrá af starfsmönnum bankans. Skulu Creditinfo og Íslandsbanki eigi síðar en 1. júlí 2015 senda Persónuvernd skriflega lýsingu á því hvernig brugðist hafi verið við framangreindum fyrirmælum stofnunarinnar.
Ú r s k u r ð a r o r ð:
Íslandsbanka hf. var heimilt að fletta upp nafni kvartanda í skrá Creditinfo Lánstrausts hf. um fjárhagsmálefni og lánstraust einstaklinga, í þeim tilgangi að kanna stöðu hans sem viðskiptamanns bankans vegna innheimtukrafna á hendur honum og síðar af tilefni málshöfðunar gegn Ergo – fjármögnunarþjónustu Íslandsbanka vegna ágreinings um réttmæti skuldajafnaðar.
Lagt er fyrir Creditinfo að gera að skilyrði við uppflettingar í vanskilaskrá, þegar að valmöguleikinn „annað, enginn annarra svarmöguleikanna á við“ er notaður, að tilgangur uppflettingarinnar sé skýrður nánar í þar til gerðum textareit. Skal Persónuvernd send skrifleg staðfesting þess efnis fyrir 1. júlí 2015.
Þá skulu Creditinfo og Íslandsbanki senda Persónuvernd eigi síðar en 1. júlí 2015 skriflega lýsingu á því hvernig tryggt verði að framangreindur textareitur birtist starfsmönnum Íslandsbanka við uppflettingu í vanskilaskrá.