Uppflettingar í vanskilaskrá
Úrskurður
Hinn 22. september 2015 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2015/895:
I.
Málavextir og bréfaskipti
Persónuvernd hefur borist kvörtun frá [A] (hér eftir nefndur „kvartandi“), dags. 8. júní 2015, yfir að [B] hrl. hafi hinn 18. mars s.á. flett honum upp í öllum þeim upplýsingakerfum sem Creditinfo Lánstraust hf. gerir aðgengileg áskrifendum sínum. Segir að allar þessar uppflettingar hafi verið án samþykkis kvartanda og vitundar og að hann telji uppflettingarnar hafa verið heimildarlausar. Í kvörtun er vísað til þess að framangreindur lögmaður hafi komið fram fyrir hönd fyrrverandi eiginkonu kvartanda í skilnaðarmáli sem dómur var kveðinn upp í nýlega. Þá segir að í ljós hafi komið að lögmaðurinn hafi flett kennitölu kvartanda upp í fasteignaskrá, ökutækjaskrá og upplýsingakerfinu Voginni, en það hefur meðal annars að geyma skrá yfir fjárhagsmálefni og lánstraust einstaklinga, sem og rekstrarsöguskrá. Lögmaðurinn hafi ekki aflað samþykkis fyrir uppflettingunum eins og skylt sé. Ekki hafi verið nein ástæða eða heimild til uppflettinganna og hafi þær skýrlega brotið gegn reglum um meðferð persónuupplýsinga.
Með bréfi, dags. 23. júní 2015, var áðurnefndum lögmanni veitt færi á að tjá sig um framangreinda kvörtun. Hann svaraði með bréfi, dags. 2. júlí 2015. Þar er því lýst að í tengslum við fyrrnefndan málarekstur hafi hann talið tilefni til að fara fram á kyrrsetningu eigna kvartanda til tryggingar fullnustu kröfu á hendur honum. Um það er í bréfi lögmannsins vísað til 5. gr. laga nr. 31/1990 um kyrrsetningu, lögbann o.fl., en þar er mælt fyrir um það skilyrði kyrrsetningar að sennilegt megi telja, ef kyrrsetning fer ekki fram, að draga muni mjög úr líkindum til að fullnusta hennar takist eða að fullnusta verði verulega örðugri. Til að sýna fram á að þessu skilyrði sé fullnægt þurfi að sýna fram á eignastöðu gerðarþola og að hún sé þannig að mjög dragi úr líkum á að hægt verði að fullnusta nokkuð af kröfu gerðarbeiðanda fari gerðin ekki fram. Hafi umræddar uppflettingar þjónað þessum tilgangi. Þá er því lýst í bréfinu að þegar kyrrsetningar hafi verið óskað hafi skilyrðum fyrir aðför til fullnustu umræddrar kröfu ekki verið fullnægt og hafi kyrrsetningunni verið ætlað að tryggja að af aðför gæti orðið þegar þar að kæmi. Töf hafi orðið á afgreiðslu sýslumanns á kyrrsetningarbeiðninni vegna verkfalls löglærðra fulltrúa hans. Áður en sýslumaður hafi tekið afstöðu til beiðninnar hafi endanlegur dómur verið felldur í málinu, þess efnis að fallist væri á kröfu á hendur kvartanda. Þar sem aðfararheimild hafi þá legið fyrir hafi sýslumaður litið svo á að ekki væri lengur fullnægt skilyrði 5. gr. laga nr. 31/1990. Í stað kyrrsetningar hafi því verið farið fram á fjárnám hjá kvartanda. Þetta breyti því þó ekki að þegar umræddar uppflettingar hafi átt sér stað hjá Creditinfo Lánstrausti hf. hafi dómsmálinu ekki verið lokið og nauðsynlegt að afla þeirra upplýsinga sem kallað var eftir.
Með bréfi, dags. 15. júlí 2015, var kvartanda veitt færi á að tjá sig um framangreint bréf umrædds lögmanns. Kvartandi svaraði með bréfi, dags. 29. s.m. Þar segir meðal annars að það verði að teljast alvarlegt að lögmaður misnoti stöðu sína og fletti upp persónulegum upplýsingum gagnaðila í dómsmáli án þess að samþykki gagnaðilans liggi fyrir. Telji lögmaðurinn að umræddar upplýsingar hefðu getað haft gildi vegna áðurnefndrar kyrrsetningarbeiðni hefði hann getað skorað á sig að afhenda upplýsingarnar eða fengið upplýst samþykki sitt fyrir öflun þeirra. Hvorugt hafi verið gert heldur hafi lögmaðurinn þess í stað aflað upplýsinganna án vitundar sinnar og samþykkis. Þá segir að það veki athygli að upplýsingunum hafi verið flett upp tíu dögum eftir að kyrrsetningarbeiðnin var lögð fram hjá sýslumanni og geti þær því varla hafa legið fyrir við framlagningu hennar. Skýringar lögmannsins gangi því ekki upp.
Hinn 11. september 2015 hafði starfsmaður Persónuverndar samband við umræddan lögmann til að óska skýringa á því hvers vegna kvartanda hefði verið flett upp í upplýsingakerfinu Voginni. Því var svarað til að það hefði verið gert til að komast að því hvort kvartandi hefði verið úrskurðaður gjaldþrota eða hvort hjá honum hefðu verið gerð mörg árangurslaus fjárnám, en upplýsingar þar að lútandi skiptu máli við mat á því hvort úrræði á borð við kyrrsetningu væru líkleg til að skila árangri. Uppfletting í Vog væri alla jafna fyrsta skrefið þegar metið væri tilefni til beitingar slíkra úrræða og hvort tíma og fjármunum væri vel varið með þeim. Persónuvernd óskaði staðfestingar lögmannsins á framangreindu í tölvupósti og barst hún samdægurs.
II.
Forsendur og niðurstaða
1.
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar, sbr. 37. gr. laganna.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst [B] hrl. vera ábyrgaraðili að umræddri vinnslu.
2.
Svo að vinnsla persónuupplýsinga sé heimil verður ávallt að vera fullnægt einhverju af skilyrðum 1. mgr. 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Það ákvæði laganna, sem hér kemur einkum til álita, er 7. tölul. þeirrar málsgreinar, þess efnis að vinna má með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.
Framangreindur lögmaður hefur veitt þær skýringar að umræddar uppflettingar hafi farið fram í tengslum við beiðni um kyrrsetningu á eignum kvartanda, sbr. 5. gr. laga nr. 31/1990 um kyrrsetningu, lögbann o.fl. Samkvæmt 1. mgr. þeirrar greinar má kyrrsetja eignir skuldara til tryggingar fullnustu lögvarinnar kröfu um greiðslu peninga ef henni verður ekki þegar fullnægt með aðför og sennilegt má telja, ef kyrrsetning fer ekki fram, að draga muni mjög úr líkindum til að fullnusta hennar takist eða að fullnusta verði verulega örðugri. Þá segir í 2. mgr. 5. gr. að það sé ekki skilyrði kyrrsetningar að gerðarbeiðandi leiði sönnur að réttmæti kröfu sinnar, en synja skuli um kyrrsetningu ef ætla verði af fyrirliggjandi gögnum að hann eigi ekki þau réttindi sem hann hyggist tryggja.
Nánar tiltekið kemur fram í skýringum lögmannsins að kvartanda hafi verið flett upp í upplýsingakerfinu Vog við mat á því hvort kyrrsetning væri líkleg til að skila árangri. Þá kemur fram að öðru leyti að kvartanda hafi verið flett upp hjá Creditinfo Lánstrausti hf. til að sýna fram á eignastöðu hans, en fyrir liggur að honum var flett upp í fasteignaskrá og ökutækjaskrá. Af hálfu kvartanda hefur komið fram að þessar skýringar fái ekki staðist þar sem uppflettingarnar hafi átt sér stað eftir að kyrrsetningarbeiðni var lögð fram. Persónuvernd telur sér hins vegar ekki unnt að vefengja umræddar skýringar á þeim grundvelli, enda verður ekki talið útilokað að tilefni geti skapast til að kanna umrædd atriði eftir framlagningu beiðni, s.s. til þess að meta hvort ástæða sé til að halda henni til streitu.
Fyrrnefnt ákvæði 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 gerir ekki kröfu um samþykki hins skráða. Þess í stað byggist ákvæðið á því að ríkari hagsmunir séu af vinnslu en ekki. Persónuvernd telur, í ljósi veittra skýringa, að umræddar uppflettingar hafi fullnægt kröfum þessa ákvæðis og því stuðst við viðhlítandi heimild samkvæmt lögunum. Þá liggur ekki fyrir að öðru leyti að farið hafi verið í bága við þau.
Ú r s k u r ð a r o r ð:
Uppflettingar [B] hrl. á upplýsingum um [A] í fasteignaskrá, ökutækjaskrá og upplýsingakerfinu Vog hinn 18. mars 2015 samrýmdust lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.