Miðlun upplýsinga um umdeilda skuld
Úrskurður
Á fundi stjórnar Persónuverndar þann 25. ágúst 2015 var kveðinn upp svohljóðandi úrskurður í máli nr. 2015/138:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Þann 28. janúar 2015 barst Persónuvernd kvörtun [X], hrl., f.h. [A] og [B] (hér eftir nefnd kvartendur), vegna skráningar Arion banka hf. á vanskilum þeirra í vanskilaskrá Creditinfo Lánstrausts hf. Í kvörtuninni segir m.a.:
„Leyfi mér fyrir hönd umbj. minna, hjónanna [A[...]], og [B [...]], að senda Persónuvernd erindi þetta sem kvörtun vegna skráningar Arion-banka hf. á meintum vanskilum (að mati Arion-banka hf.) hjá umbj. mínum í vanskilaskrá Creditinfo-Lánstrausts hf. Er þess m.a. farið á leit að Persónuvernd neyti heimilda skv. 40. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og 5. gr. reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, til að umrædd skráning verði afmáð úr vanskilaskránni.
[...E]r um að ræða skuldabréf sem um er deilt milli Arion-banka hf. og umbj. minna hvort sé í vanskilum.[...E]r bankinn fyllilega meðvitaður um að krafa bankans á hendur umbj. mínum varðar atriði sem lögfræðilegur ágreiningur er um. Engu að síður heldur bankinn til streitu skráningu í vanskilaskrá vegna hennar, þrátt fyrir kröfur um að draga hana til baka.“
Í tengslum við framangreint vísar lögmaður kvartenda til ákvæðis 3. mgr. í grein 2.1. í starfsleyfi Persónuverndar til handa Creditinfo Lánstrausti hf. (hér eftir nefnt Creditinfo), sbr. mál stofnunarinnar nr. 2014/1640, þar sem segir að vinnsla upplýsinga um umdeildar skuldir sé óheimil. Þá segir í kvörtuninni að gerð sé sú krafa að bankinn og Creditinfo afmái skráninguna og að Creditinfo sendi leiðréttingu til allra sem fengu umræddar upplýsingarnar úr vanskilaskránni. Með kvörtuninni fylgdu afrit af skuldabréfi kvartenda, dags. [í ágúst 2007], ásamt greiðsluáætlun vegna skuldabréfsins, dags. [í september 2007], sem og afrit af bréfi lögmanns kvartenda til Arion banka hf., dags. 21. nóvember 2014.
2.
Bréfaskipti við Arion [banka], Creditinfo og kvartanda
Með bréfi, dags. 4. mars 2015, var Arion banka hf. (hér eftir nefndur Arion) boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf Arion, dags. 25. mars 2015, barst Persónuvernd þann sama dag. Í svarbréfi bankans segir meðal annars að greiðsluáskorun hafi verið birt fyrir kvartendum [í janúar 2015 vegna vanskila þeirra á afborgunum tiltekins veðskuldabréfs. Báru kvartendur upp andmæli við Creditinfo, þar sem þau töldu að ekki væri heimilt að skrá umrædda greiðsluáskorun á vanskilaskrá sökum þess að skuldin væri umdeild. Voru kvartendur í kjölfarið teknir af vanskilaskrá Creditinfo [í ] febrúar 2015. Þá segir einnig í svarbréfi bankans að hann telji sig ekki hafa miðlað röngum, villandi eða ófullkomnum upplýsingum til Creditinfo, þrátt fyrir að skuldin kunni að vera umdeild í dag, enda hafi skuldin verið í vanskilum í lengri tíma.
Með bréfi, dags. 30. mars 2015, óskaði Persónuvernd frekari skýringa frá Arion, nánar tiltekið um hvort bankanum bárust andmæli frá kvartendum um umrædda skuld áður en upplýsingar um vanskil voru skráðar í vanskilaskrá, og hvenær þau hefðu borist, sbr. t.d. bréf lögmanns kvartenda til Arion, dags. [í nóvember] 2014. Ef slík andmæli hefðu borist var þess jafnframt óskað að fram kæmi hvort slík andmæli hefðu verið skráð hjá bankanum auk þess sem Persónuvernd óskaði eftir afriti af slíkum andmælum.
Í svarbréfi bankans, dags. 5. maí 2015, segir meðal annars að upplýsingar um vanskil á láni kvartenda hafi verið sendar Creditinfo þann [...] september 2014, þ.e. áður en bréf lögmanns kvartenda barst bankanum þann [...] nóvember 2014. Creditinfo hafi þá sent kvartendum bréf og upplýst um fyrirhugaða skráningu í vanskilaskrá. Hafi í því bréfi komið fram að vanskil á umræddu láni yrðu skráð í gagnagrunn Creditinfo 17 dögum eftir dagsetningu tilkynningarinnar nema Creditinfo bærust upplýsingar um uppgjör málsins. Í bréfinu hafi einnig komið fram að viðtakandi tilkynningar hefði rétt á því að andmæla skráningu, hvort sem væri munnlega eða skriflega. Bendir bankinn á að af þessu bréfi Creditinfo megi ráða að möguleg andmæli á skráningu eigi að berast Creditinfo, sem eftir atvikum kanni réttmæti andmælanna hjá kröfuhafa eða umboðsmanni hans. Að öðru leyti viti bankinn ekki til þess að sérstök andmæli hafi borist eftir að veðskuldabréfið féll í vanskil. Loks er bent á að kvartendur skrifuðu undir skilmálabreytingu á láninu, þar sem vanskilum var bætt við höfuðstól skuldarinnar, þann [...]. maí 2014 með fyrirvara um lögmæti upphaflegs lánsskjals. Veðskuldabréfið hafi farið í vanskil þann [...] júlí 2014 og verið sett í lögfræðiinnheimtu að undangengnum áskorunum þann [...] október 2014.
Með bréfi, dags. 30. mars 2015, var Creditinfo boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Var þess sérstaklega óskað að fram kæmi hvort Creditinfo teldi umrædda skráningu bankans í vanskilaskrá hafa verið umdeilda skuld, í skilningi 3. mgr. í grein 2.1. í núgildandi starfsleyfi Creditinfo. Einnig var þess óskað að fram kæmi hvort sá skilningur Persónuverndar væri réttur að umrædd skráning hefði verið afskráð úr vanskilaskrá, og ef svo væri, hvers vegna það hefði verið gert.
Í svarbréfi Creditinfo, dags. 17. apríl 2015, segir meðal annars:
„[...] Þann 30. september 2014 sendi félagið málshefjendum tilkynningu um fyrirhugaða skráningu á kröfu Arion banka á vanskilaskrá og var þeim veittur 17 daga frestur til að koma í veg fyrir skráningu, eftir atvikum með því að færa fram rök fyrir því að krafan sé ekki lögmæt. Engar athugasemdir bárust frá málshefjendum í kjölfar fyrrnefndrar tilkynningar og voru vanskilin því skráð í vanskilaskrá þann [...] október 2014. Það var síðan í byrjun febrúar 2015 sem félagið fékk upplýsingar um andmæli málshefjanda þegar því barst afrit af kvörtun [X] hrl. til Persónuverndar. Í framhaldinu ákvað félagið að afmá skráningu vanskilanna úr vanskilaskrá og var það gert þann [...] febrúar sl. [...]“
Þá bendir Creditinfo á að sambærilegum sjónarmiðum um lögmæti skuldabréfa hafi verið hafnað með dómum héraðsdóms Reykjavíkur í málum nr. [...] og [...]. Telji því félagið að umræddir dómar hafi fordæmisgildi í þessu máli. Hins vegar hafi Creditinfo haft það fyrir reglu að skrá ekki kröfur og/eða afskrá þær sem áður hafa verið skráðar sem ekki njóta réttargjörðar og aðili hefur andmælt skráningunni. Í þessu máli hafi viðbrögð Creditinfo verið í samræmi við framangreint, enda var færslan afskráð þegar félagið móttók afrit af kvörtun lögmanns kvartenda til Persónuverndar.
Með bréfi, dags. 6. maí 2015, var lögmanni kvartenda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Arion og Creditinfo til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf lögmanns kvartenda, dags. 21. maí 2015, barst Persónuvernd þann 28. s.m. Þar segir meðal annars að áréttuð séu fyrri sjónarmið sem vísað var til í upphaflegri kvörtun til Persónuverndar, þ. á m. lög nr. 77/2000, reglugerð nr. 246/2001 og sá tilgangur sem búi að baki því að heimila söfnun og skráningu upplýsinga sem varða fjárhagsmálefni einstaklinga og fyrirtækja samkvæmt umræddum lögum og reglugerð, sem og starfsleyfi Persónuverndar til handa Creditinfo. Einnig segir eftirfarandi í svarbréfinu:
„[...] Af svörum Arion banka hf. virðist helst mega ráða að bankinn álíti sig ekki þurfa að lúta þeim reglum sem gilda um skráningu í vanskilaskrá, enda virðist hann líta svo á að ekki skipti máli hvort um umdeilda skuld hafi verið að ræða. Telur bankinn öllu máli skipta að upplýsingarnar sem hann hafi miðlað til vanskilaskrár hafi ekki verið að mati hans sjálfs rangar, villandi eða ófullkomnar í skilningi ákvæðis 2.4. í starfsleyfi Persónuverndar til Creditinfo. [...]
Í svörum bankans kemur ekki fram hver tilgangur hans hafi verið með skráningunni í vanskilaskrá. Ekki verður hjá því komist, miðað við svör og viðbrögð bankans, að ætla að hann hafi fyrst og fremst snúist um aðferð við innheimtu en ekki miðlun áreiðanlegra upplýsinga með sanngjörnum, málefnalegum og lögmætum hætti, sbr. 1. mgr. 7. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.“
Varðandi skýringar Creditinfo bendir lögmaður kvartenda á að hann telji að félagið hafi brugðist rétt við þegar það hafi fengið upplýsingar um hina ólögmætu skráningu í vanskilaskrá. Telji hann það þó áhyggjuefni að Creditinfo telji áðurnefnda dóma hafa fordæmisgildi á grundvelli þess að þeir snúist um sambærileg mál.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af framangreindu er ljóst að sú aðgerð, að skrá upplýsingar um vanskil kvartenda í vanskilaskrá Creditinfo, felur í sér vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Creditinfo vera ábyrgðaraðili vanskilaskrárinnar sem og þeirrar skráningar um vanskil kvartenda í vanskilaskrá sem kvörtunin lýtur að. Aftur á móti telst Arion vera ábyrgðaraðili miðlunar persónuuupplýsinga frá bankanum til Creditinfo um vanskil á láni kvartenda.
2.
Afmörkun úrlausnarefnis
Vert er að árétta að það er ekki hlutverk Persónuverndar að skera úr um lögmæti þeirrar kröfu sem hér um ræðir. Aftur á móti fellur það í hlut stofnunarinnar að meta hvort miðlun persónuupplýsinga frá Arion til Creditinfo hafi verið lögmæt og hvort eftirfarandi vinnsla upplýsinganna hjá Creditinfo hafi verið í samræmi við ákvæði laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og starfsleyfi hennar til handa Creditinfo. Miðast eftirfarandi úrlausn við það.
3.
Um lögmæti miðlunar persónuupplýsinga
frá Arion til Creditinfo
Öll vinnsla persónuupplýsinga verður að eiga sér stoð í lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Í því felst m.a. að ávallt verður að vera fullnægt einhverju af skilyrðum 8. gr. laganna. Litið hefur verið svo á að vinnsla upplýsinga um fjárhagsmálefni og lánstraust geti m.a. átt sér stoð í 7. tölul. 1. mgr. 8. gr., þ.e. á þeim grundvelli að vinnsla sé nauðsynleg í þágu lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.
Að auki verður, eins og ávallt þegar unnið er með persónuupplýsingar, að fara að öllum grunnkröfum 7. gr. laga nr. 77/2000, þ. á m. að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti slíkra upplýsinga (1. tölul.); að persónuupplýsingar skulu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að persónuupplýsingar skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skulu vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skal afmá eða leiðrétta (4. tölul.).
Í grein 2.1. í núgildandi starfsleyfi Persónuverndar til Creditinfo, sem og eldra starfsleyfi, dags. 19. desember 2013, sem var í gildi þegar umræddum upplýsingum var miðlað, er talið upp hvaða upplýsingar handhafi slíks leyfis, í þessu tilviki Creditinfo, megi skrá, en sú upptalning byggist á 1. mgr. 3. gr. reglugerðar nr. 246/2001 þar sem segir að fjárhagsupplýsingastofu sé einungis heimilt að vinna með upplýsingar sem eðli sínu samkvæmt hafa afgerandi þýðingu við mat á fjárhag og lánstrausti hins skráða. Þá segir í 3. mgr. sama ákvæðis að óheimil sé vinnsla upplýsinga um umdeildar skuldir. Það á við ef skuldari hefur andmælt skuld og hún ekki verið staðfest með réttargjörð. Það er almennt skilyrði að löginnheimta sé hafin gegn hinum skráða, s.s. að stefna hafi verið birt, eða að hann hafi skriflega viðurkennt fyrir kröfuhafa að skuld sé fallin í gjalddaga. Þá hefur norska persónuverndarstofnunin, Datatilsynet, túlkað sambærilegt ákvæði í starfsleyfi sínum til handa fjárhagsupplýsingastofum með þeim hætti að skuld teljist ekki lengur umdeild þegar fyrir liggur aðfararhæfur dómur eða önnur aðfararhæf ákvörðun. Hefur danska persónuverndarstofnunin, Datatilsynet, túlkað hugtakið umdeildar skuldir með sambærilegum hætti. Nánar tiltekið hefur verið litið svo á í Danmörku að hvorki sé heimilt að skrá né miðla upplýsingum um skuldir sem ágreiningur er uppi um milli lánveitanda og skuldara fyrr en dómstóll hefur skorið úr þeim ágreiningi. Telur Persónuvernd tilefni til að hafa hliðsjón af framangreindu þegar metið er hvort miðlun persónuupplýsinga frá kröfuhafa til Creditinfo, vegna fyrirhugaðrar skráningar í vanskilaskrá, teljist lögmæt á grundvelli framangreindra ákvæða laga nr. 77/2000, enda byggjast bæði lögin og starfsleyfi Persónuverndar á sambærilegum sjónarmiðum og norræn löggjöf um efnið.
Í því tilviki sem hér um ræðir liggur fyrir að kvartendur tóku lán hjá Arion til þess að fjármagna húsnæðiskaup. Þá hafi ágreiningur verið uppi milli kvartenda og bankans um lögmæti útreiknings á lántökukostnaði vegna skuldabréfsins og því hafi kvartendur hætt að greiða af láninu í heild sinni þar til niðurstaða dómstóla liggi fyrir. Telja kvartendur að bankanum hafi ekki verið heimilt skrá upplýsingar um vanskil þeirra í vanskilaskrá á grundvelli þess að skuldin var umdeild og að upplýsingarnar hafi verið rangar, villandi og/eða ófullkomnar, í skilningi ákvæða 2.1. og 2.4. í starfsleyfi Persónuverndar til handa Creditinfo.
Af hálfu Arion hefur komið fram að kvartendur skrifuðu undir skilmálabreytingu á láninu þann 2. maí 2014 með fyrirvara um lögmæti upphaflegs lánaskjals. Þá hafi veðskuldabréfið farið í vanskil þann 1. júlí s.á. og upplýsingar um vanskil kvartenda því sendar Creditinfo þann 30. september s.á. Hafi skuldabréfið verið sett í lögfræðiinnheimtu, að undangengnum áskorunum til kvartenda, þann 6. október s.á., en vanskilin voru skráð í vanskilaskrá Creditinfo þann 17. s.m. Einnig barst bankanum bréf frá lögmanni kvartenda, dags. 21. nóvember 2014, þar sem þess var krafist að lántökukostnaður skuldabréfsins yrði endurreiknaður og að skráningin yrði tekin úr vanskilaskrá.
Við mat á því hvort skuld kvartenda hafi verið umdeild þegar upplýsingum um hana var miðlað til Creditinfo, í skilningi ákvæðis 3. mgr. í grein 2.1. í starfsleyfi Persónuverndar, ber annars vegar að meta hvort kvartendur andmæltu skuldinni og hins vegar hvort skuldin hafi verið staðfest með réttargjörð þegar upplýsingunum var miðlað.
Af gögnum málsins telur Persónuvernd liggja ljóst fyrir að kvartendur höfðu uppi andmæli við bankann um lögmæti skuldarinnar, nánar tiltekið við undirritun skilmálabreytingar á láninu þann [...] maí 2014 sem og með bréfi frá lögmanni kvartenda, dags. [...] nóvember s.á. Þá lá ekki fyrir aðfararhæfur dómur eða önnur aðfararhæf ákvörðun um lögmæti kröfu bankans gagnvart kvartendum þegar upplýsingum um skuld þeirra var miðlað frá bankanum til Creditinfo, n.t.t. þann [...] september 2014, og var hún því ekki staðfest með réttargjörð. Í ljósi framangreinds telur Persónuvernd að skuld kvartenda hafi, á þeim tíma þegar upplýsingum um hana var miðlað til Creditinfo, verið umdeild í skilningi starfsleyfis stofnunarinnar og því hafi bankanum verið óheimilt að miðla umræddum upplýsingum til Creditinfo. Var miðlunin því ekki í samræmi við ákvæði 1. mgr. 8. gr. laga nr. 77/2000, sbr. 1. mgr. í grein 2.1. í starfsleyfi Persónuverndar til handa Creditinfo fyrir árið 2014
4.
Um lögmæti vinnslu persónuupplýsinga
hjá Creditinfo
Í 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga er mælt fyrir um hvenær vinna má með persónuupplýsingar. Þarf einhverri af kröfum þess ákvæðis ávallt að vera fullnægt við slíka vinnslu, þ. á m. við skráningar í skrá Creditinfo um fjárhagsmálefni og lánstraust einstaklinga, þ.e. vanskilaskrá, en hún er haldin samkvæmt starfsleyfi frá Persónuvernd, sbr. 2. gr. reglugerðar nr. 246/2001, um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust einstaklinga, sbr. 45. gr. laga nr. 77/2000. Er framangreint sérstaklega áréttað í grein 2.1. í starfsleyfi Persónuverndar til starfrækslu skrárinnar, dags. 29. desember 2014. Samskonar ákvæði var einnig að finna í eldra starfsleyfi Persónuverndar, dags. 19. desember 2013, sem í gildi var þegar atvik málsins áttu sér stað. Litið hefur verið svo á að vinnsla upplýsinga um fjárhagsmálefni og lánstraust geti m.a. átt sér stoð í 7. tölul. 1. mgr. 8. gr., eins og áður segir, þ.e. á þeim grundvelli að vinnsla sé nauðsynleg í þágu lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.
Þá er óheimil vinnsla upplýsinga um umdeildar skuldir, sbr. umfjöllun ofar í kafla II. 3., og fjárhagsupplýsingastofu er einungis heimilt að vinna með persónuupplýsingar sem eðli sínu samkvæmt geta haft þýðingu við mat á fjárhag og lánstrausti hins skráða, sbr. 1. mgr. í grein 2.1. í starfsleyfinu. Einnig er fjallað um fræðsluskyldu fjárhagsupplýsingastofu í grein 2.3. í starfsleyfinu. Ber meðal annars í slíkri fræðslu að greina hinum skráða frá upplýsinga- og andmælarétti hans, sbr. grein 2.3.1. Í sama ákvæði segir að ef ekki liggi fyrir nein réttargjörð, sem staðfesti réttleika upplýsinga um vanskil, skuli geta þess í fræðslu að þeim verði eytt af skránni snúi viðkomandi sér til stofunnar og andmæli tilvist kröfu eða fjárhæð hennar.
Að því er varðar eyðingu eða leiðréttingu upplýsinga í vanskilaskrá ber að líta til skilmála núgildandi starfsleyfis, enda var sú skráning sem hér um ræðir afmáð þann 9. febrúar 2015. Samkvæmt grein 2.4. í starfsleyfinu skal eyða eða breyta persónuupplýsingum til leiðréttingar sem eru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra. Skuli það gert tafarlaust eða svo fljótt sem verða má.
Í því tilviki sem hér um ræðir liggur fyrir að Creditinfo sendi kvartendum bréf þann [...] september 2014 um fyrirhugaða skráningu í vanskilaskrá og veitti þeim 17 daga frest til þess að andmæla henni. Þar sem engar athugasemdir bárust Creditinfo fyrir tilskilinn frest voru upplýsingarnar frá Arion skráðar í vanskilaskrá. Aftur á móti hafi Creditinfo afmáð skráninguna úr vanskilaskrá þegar félaginu barst afrit af kvörtun lögmanns kvartenda til Persónuverndar, nánar tiltekið þann [...] febrúar 2015.
Að því er varðar tilvísun Creditinfo til dóma héraðsdóms Reykjavíkur í málum nr. [...] og [...] telur Persónuvernd vert að árétta að það fellur ekki innan gildissviðs laga nr. 77/2000, og þar með ekki undir valdsvið stofnunarinnar, að taka afstöðu til þess hvort krafa sé lögmæt. Þar sem hvorugur dómurinn varpar ljósi á skýringu ákvæða laga nr. 77/2000 eða starfsleyfis stofnunarinnar, sem sett er á grundvelli reglugerðar nr. 246/2001, er það mat Persónuverndar að niðurstöður þeirra hafi ekki þýðingu fyrir úrlausn þessa máls. Með vísan til alls ofangreinds telur Persónuvernd að vinnsla persónuupplýsinga um kvartendur hjá Creditinfo hafi verið í samræmi við skilmála starfsleyfis Persónuverndar, dags. 19. desember 2013.
Í ljósi alls framangreinds beinir Persónuvernd engu að síður þeim fyrirmælum til Creditinfo að athuga hvort upplýsingum um umrædda skuld kvartenda hafi verið miðlað úr vanskilaskrá. Hafi svo verið ber Creditinfo, eftir því sem félaginu er frekast unnt, að hindra að það hafi áhrif á hagsmuni kvartenda, í samræmi við ákvæði 2.4. í starfsleyfi Persónuverndar.
Ú r s k u r ð a r o r ð:
Miðlun persónuupplýsinga um meint vanskil kvartenda frá Arion til Creditinfo samrýmdist ekki lögum nr. 77/2000.
Vinnsla persónuupplýsinga um kvartendur hjá Creditinfo, í kjölfar móttöku þeirra frá Arion, samrýmdist lögum nr. 77/2000 og starfsleyfi Persónuverndar til handa félaginu fyrir árin 2014 og 2015.