Uppfletting sambýliskonu lánsumsækjanda í vanskilaskrá
Þann 13. september 2005 komst stjórn Persónuverndar að svohljóðandi niðurstöðu í máli nr. 2005/275:
Grundvöllur málsins
Þann 10. maí sl. barst tölvupóstur frá A af tilefni þess að B fletti henni upp í skrá Lánstrausts hf. Hefur hún óskað eftir því að Persónuvernd úrskurði um lögmæti þess. Í tölvupóstinum kemur fram að sambýlismaður hennar hafi sótt um lán hjá B en verið hafnað vegna þess að hún sé á skrá Lánstrausts (LT). Hann hafi hins vegar einn sótt um umrætt lán og sé einn eigandi þess húss sem þau búa í. Þá segir í umræddum tölvupósti:
Persónuvernd óskaði eftir skýringum B með bréfi, dags. 17. maí 2005. Engin svör bárust og því var þeirra ítrekað óskað með bréfi dags. 16. júní 2005. Þar sem enn bárust engin svör var haft samband símleiðis við B. Með bréfi, dags. 12. júlí 2005, barst svar frá E hdl. f.h. B. Bréfið er svohljóðandi:
Þegar hjón eða sambúðaraðilar sækja um fasteignalán hjá bankanum, eru báðir aðilar í flestum tilvikum lánsumsækjendur. Báðir aðilar rita þá undir lánsumsókn þar sem bankanum er um leið veitt heimild til að kanna fjárhag viðkomandi m.a. öðrum fjármálafyrirtækjum og lánastofnunum.
Ástæður þessar er að algengt er í dag að bæði hjónin/sambúðaraðilarnir séu skráðir fyrir fasteign fjölskyldunnar og því fer bankinn fram á að báðir aðilar verði greiðendur in solidum og undirriti lánsumsókn.
Í umræddu tilviki var umsækjandi láns einn skráður fyrir fasteigninni en sambúðaraðila, [A], einnig flett upp í vanskilaskrá Lánstrausts án þess að hafa ritað undir lánsumsókn hjá bankanum og veitt til þess leyfi sitt. Var hér um einstök mistök að ræða og er hér með beðist velvirðingar á þeim."
Með bréfi dags. 14. júlí 2005 var svari B komið á framfæri við kvartanda og með tölvupósti dags. 22. júlí 2005 bárust athugasemdir hennar. Þar segir m.a.:
Í framhaldinu sendi Persónuvernd bréf, dags. 4. ágúst sl., til B og gaf honum kost á að koma frekari skýringum á framfæri. Engar frekari athugasemdir bárust.
Forsendur og niðurstaða
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, skv. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið "vinnsla" er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, skv. 2. tölul. 2. gr. laganna. Með vinnslu er t.d. átt við söfnun og skráningu og undir það fellur m.a. rafræn vöktun, flokkun, varðveisla, breyting, leit, miðlun, samtenging eða hver sú aðferð sem nota má til að gera upplýsingar tiltækar, sbr. athugasemdir í greinargerð með frumvarpi því er varð síðar að lögum nr. 77/2000.
Með vísun til framangreinds verður að telja að sú aðgerð B að leita og fá fjárhagsupplýsingar um A úr skrá LT hafi falið í sér vinnslu persónuupplýsinga og fellur mál þetta þar með undir gildissvið laga nr. 77/2000.
Öll vinnsla persónuupplýsinga verður að eiga sér stoð í lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Ákvæði 1. mgr. 8. gr. laganna gilda um vinnslu almennra persónuupplýsinga en 1. mgr. 9. gr. gildir um vinnslu viðkvæmra persónuupplýsinga. Upplýsingar um fjárhagsmálefni og lánstraust eru ekki skilgreindar sem viðkvæmar persónuupplýsingar í skilningi laganna, sbr. 8. tölul. 2. gr. laga nr. 77/2000. Þarf vinnslan því einungis að eiga sér stoð í einhverju af skilyrðum 1. mgr. 8. gr. Hefur verið talið að söfnun og miðlun fjárhagsupplýsinga um einstaklinga í því skyni að miðla þeim til annarra geti, að viðeigandi skilyrðum uppfylltum, átt sér stoð í 1., 2. eða 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000.
Samkvæmt 33. gr. laga nr. 77/2000 getur Persónuvernd, enda þótt vinnsla uppfylli eitthvert af skilyrðum 1. mgr. 8. gr., ákveðið að hún megi ekki hefjast fyrr en hún hefur verið athuguð af stofnuninni og samþykkt með útgáfu sérstakrar heimildar. Með vísun til þessa, og að því virtu að vinnsla upplýsinga um fjárhagsmálefni og lánstraust lögaðila er háð leyfi Persónuverndar, sbr. 2. mgr. 45. gr. laganna, hefur Persónuvernd ákveðið að sama gildi um upplýsingar um fjárhagsmálefni og lánstraust einstaklinga. Kemur þessi afstaða hennar fram í 4. tölul. 1. mgr. 7. gr. reglna nr. 698/2004 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga, sem settar eru samkvæmt heimild í 31., 32. og. 33. gr. laga nr. 77/2000.
Lánstrausti hafa verið veitt slík leyfi. Er núgildandi leyfi dags. 4. mars 2005. Í 4. gr. leyfisins eru afmarkaðar heimildir LT til að miðla upplýsingum um fjárhagsmálefni og lánstraust en í grein 7.3. eru fyrirmæli varðandi samningsgerð við áskrifendur. Í áskriftarskilmálum Lánstrausts hf. segir m.a. í 11. gr. að upplýsingar úr skrám LT megi eingöngu nota við könnun á lánstrausti, í tengslum við væntanleg eða yfirstandandi viðskipti, eða ef lögvarðir hagsmunir séu að öðru leyti fyrir hendi.
Fyrir liggur að B fletti A upp í skrá Lánstrausts hf. í tengslum við fyrirhuguð viðskipti sambýlismanns hennar við bankann og hefur hún óskað úrlausnar Persónuverndar um hvort sú vinnsla persónuupplýsinga hafi verið heimil samkvæmt lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Eins og að framan greinir hefur verið talið að söfnun og miðlun fjárhagsupplýsinga um einstaklinga í því skyni að miðla þeim til annarra geti átt sér stoð í 1., 2. eða 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000.
Samkvæmt 1. tölul. telst vinnsla persónuupplýsinga heimil ef hinn skráði hefur samþykkt hana. Af lýsingu á málsatvikum verður ekki ráðið að þessu skilyrði hafi verið fullnægt, sbr. skýringar B í bréfi bankans, dags. 12. júlí 2005.
Samkvæmt 2. tölul. 1. mgr. 8. gr. getur vinnsla persónuupplýsinga verið heimil ef hún er nauðsynleg til að efna samning sem hinn skráði er aðili að eða til að gera ráðstafanir að beiðni hins skráða áður en samningur er gerður. Ákvæðið getur til að mynda átt við ef fyrir liggur samningur milli lánastofnunar og viðskiptavinar þar sem gerður er fyrirvari um uppflettingar á vanskilaskrá. Af atvikum þessa máls verður hins vegar ekkert ráðið um að slíkur samningur hafi legið fyrir milli A og B, né að hún hafi sóst eftir slíkum samningi við bankann.
Samkvæmt 7. tölul. telst vinnsla heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda beri samkvæmt lögum vegi þyngra. Við mat á því hvort þessu skilyrði sé fullnægt ber að líta til þess að A og F eru í óvígðri sambúð. Stofnun óvígðrar sambúðar hefur engin áhrif á þær heimildir sem í eignarrétti felast, sambærilegar við þær sem gilda hjá einstaklingum í hjúskap. Af því leiðir t.d. að meðan óvígð sambúð varir hefur eigandi ótakmarkaðan ráðstöfunarrétt yfir eign sinni og breytir engu hvort um sé að ræða þá íbúð sem fjölskyldan býr í. Um skuldaábyrgð gildir sama regla um hjón og um sambúðarfólk, þ.e.a.s. hvor aðili ber ábyrgð á eigin skuldbindingum en ekki á skuldum maka eða sambúðarmanns en þau frávik frá þessu sem gilda um sameiginlega ábyrgð hjóna á vissum skuldum gilda ekki um sambúðarfólk. Samkvæmt framanrituðu verður þar af leiðandi ekki talið að sú aðgerð B að fletta A upp í skrá Lánstrausts hf. í tengslum við viðskipti bankans við sambýlismann hennar hafi verið bankanum nauðsynleg til að hann gæti gætt lögmætra hagsmuna sinna vegna viðskiptanna. Átti vinnslan sér því ekki stoð í 7. tölul. 1. mgr. 8. gr. Þá verður ekki séð að umrædd uppfletting hafi verið í samræmi við áskriftarskilmála LT um að upplýsingar úr skrám LT megi eingöngu nota við könnun á lánstrausti, í tengslum við væntanleg eða yfirstandandi viðskipti, eða ef lögvarðir hagsmunir séu að öðru leyti fyrir hendi.
B var óheimilt að skoða upplýsingar um A í skrá Lánstrausts hf. í tengslum við fyrirhuguð viðskipti sambýlismanns hennar við bankann.