Miðlun í skuldastöðukerfi
Úrskurður
Hinn 24. febrúar 2016 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2015/1036:
I.
Málavextir og bréfaskipti
Persónuvernd hefur borist kvörtun frá [A] (hér eftir nefnd „kvartandi“), dags. 14. júlí 2015, yfir að Lánasjóður íslenskra námsmanna (LÍN) hafi ekki fjarlægt úr lánayfirliti hjá Creditinfo Lánstrausti hf. tilteknar, fyrndar kröfur á hendur henni þrátt fyrir beiðni hennar þar að lútandi. Fyrir liggur að kvartandi varð gjaldþrota í mars 2013, en samkvæmt 2. mgr. 165. gr. laga nr. 91/1991 um gjaldþrotaskipti o.fl., sbr. lög nr. 142/2010, fyrnast kröfur á tveimur árum frá því að gjaldþrotaskiptum lýkur. Þá liggur fyrir að um er að ræða upplýsingar sem LÍN miðlaði í skuldastöðukerfi Lánstrausts hf., en slík miðlun á sér stað þegar fyrir liggur beiðni hins skráða þar að lútandi í tengslum við lánafyrirgreiðslu. Verða þá upplýsingar úr kerfinu, sem í það hefur verið miðlað samkvæmt beiðninni, aðgengilegar þeim sem sótt er um lánafyrirgreiðslu hjá.
Nánar segir í kvörtun:
„Þrátt fyrir frábæra þjónustu hjá Creditinfo sem eru búnir að hafa samband við LÍN margoft og ég líka búin að senda þeim erindi og hringja margoft þá virðist þetta þurfa að fara fyrir nefndir og fundi þótt þetta séu lög að gjaldþrot sé búið eftir 2 ár. Nú er ég búin að standa í þessu ásamt frábærum starfsmönnum hjá Creditinfo að reyna að fá skuld mína og ábyrgð út af skránni hjá Creditiinfo en LÍN er ekki að samþykkja það. Því sé ég einu leiðina að leita til ykkar með von um aðstoð við að koma LÍN í skilning um að ég eigi ekki að vera inni sem ábyrgðarmaður né skuldari.“
Með bréfi, dags. 16. júlí 2015, var LÍN veitt færi á að tjá sig um kvörtunina. Svarað með bréfi, dags. 19. s.á. Þar segir:
„Þann 6. desember 2012 var bú [A] tekið til gjaldþrotaskipta í héraðsdómi Reykjaness. Skiptum á búinu lauk svo þann 4. mars 2013.
Skv. 165. gr. laga nr. 21/1991 fyrnast kröfur á hendur gjaldþrota aðila 2 árum eftir skiptalok ef kröfuhafi hefur ekki höfðað mál til slita á fyrningu fyrir lok frestsins. Slíkt mál var ekki höfðað gegn [A] innan fyrningartímans og því fyrndust kröfur á hendur henni þann 4. mars 2015.
Niðurfelling á námslánum [A] auk þeirra ábyrgða sem [A] var í fyrir umrætt gjaldþrot hefur verið borin undir yfirstjórnendur LÍN þar sem niðurfelling var samþykkt. Niðurfelling úr tölvukerfum LÍN bíður afgreiðslu en stefnt er að því að kröfur á hendur [A] verði felldar brott fyrir mánaðamót ágúst/september.“
Með bréfi, dags. 7. september 2015, ítrekuðu með bréfum, dags. 13. október og 28. desember s.á., var kvartanda veitt færi á að tjá sig um framangreint svar LÍN. Ekki barst svar frá kvartanda.
II.
Forsendur og niðurstaða
1.
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst LÍN vera ábyrgaraðili að umræddri vinnslu.
2.
Svo að vinnsla persónuupplýsinga sé heimil verður ávallt að vera fullnægt einhverju af skilyrðum 1. mgr. 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Það ákvæði laganna, sem hér kemur einkum til álita, er 7. tölul. þeirrar málsgreinar, þess efnis að vinna má með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.
Í ljósi þessa ákvæðis má telja fjármálastofnunum heimilt að miðla upplýsingum í skuldastöðukerfi Creditinfo Lánstrausts hf. svo að þær megi gera aðgengilegar annarri fjármálastofnun sem hefur til meðferðar umsókn einstaklings um fyrirgreiðslu. Þeirri fjármálastofnun skal þó hafa borist beiðni viðkomandi einstaklings um uppflettingu, en auk þess verður miðlunin að samrýmast grunnreglum 1. mgr. 7. gr. laga nr. 77/2000, þ. á. m. 3. tölul. um að við vinnslu persónuupplýsinga skal þess gætt að upplýsingarnar séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar. Það ákvæði hefur í för með sér að fjármálastofnun, sem miðlar upplýsingum inn í umrætt kerfi, ber að gæta þess að um sé að ræða gildar kröfur, en upplýsingum um fyrndar kröfur á því ekki að miðla. Samkvæmt 2. mgr. 165. gr. laga nr. 91/1991 um gjaldþrotaskipti o.fl., sbr. lög nr. 142/2010, fyrnast kröfur á tveimur árum frá því að gjaldþrotaskiptum lýkur. Ljóst er að þegar kröfur eru fyrndar á grundvelli þessa ákvæðis stríðir miðlun þeirra í umrætt skuldastöðukerfi gegn fyrrgreindu ákvæði 7. gr. laga nr. 77/2000.
Fyrir liggur að kröfur LÍN, sem miðlað var í umrætt skuldastöðukerfi, voru fyrndar samkvæmt framangreindu. Af því leiðir að miðlunin var óheimil.
Ú r s k u r ð a r o r ð:
Lánasjóði íslenskra námsmanna var óheimilt að miðla upplýsingum um fyrndar kröfur á hendur [A]í skuldastöðukerfi Creditinfo Lánstrausts hf.