Miðlun upplýsinga um umdeilda skuld
Úrskurður
Á fundi stjórnar Persónuverndar hinn 24. febrúar 2016 var kveðinn upp svohljóðandi úrskurður í máli nr. 2015/1519:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Endurupptaka máls
Persónuvernd hefur borist bréf frá [A] hdl. fyrir hönd Arion-banka hf., dags. 10. nóvember 2015, þar sem farið er fram á endurupptöku máls af tilefni kvörtunar, dags. 28. janúar s.á., sem barst frá [B] hrl. fyrir hönd [C] og [D] (hér eftir nefnd „kvartendur“). Því máli lyktaði með úrskurði Persónuverndar, dags. 25. ágúst s.á. (mál nr. 2015/138), en þar var komist að þeirri niðurstöðu að það hefði ekki samrýmst lögum þegar Arion-banki hf., hinn 30. september 2014, sendi upplýsingar um að kvartendur hefðu vanefnt íbúðalán til skráningar hjá fjárhagsupplýsingastofunni Creditinfo Lánstrausti hf. Byggðist sú niðurstaða á að um hefði verið að ræða umdeilda skuld, sbr. 3. mgr. í grein 2.1 í þágildandi starfsleyfi Persónuverndar til handa fjárhagsupplýsingastofunni, dags. 19. desember 2013 (mál nr. 2013/1169), til söfnunar og miðlunar upplýsingar um fjárhagsmálefni og lánstraust einstaklinga (sbr. einnig sömu grein í núgildandi starfsleyfi, dags. 28. desember 2015 (mál nr. 2015/1428)). Var þá litið til þess að kvartendur höfðu hinn 2. maí 2014, þegar þeir skrifuðu undir skilmálabreytingu, gert fyrirvara við lögmæti upphaflegs veðskuldabréfs, dags. 13. september 2007, en í þeim fyrirvara taldi Persónuvernd felast andmæli við skuldinni.
Samkvæmt bréfi fyrrgreinds lögmanns Arion-banka hf. skorti á að veittur væri andmælaréttur um þetta atriði. Vísaði lögmaðurinn til 1. tölul. 1. mgr. 24. gr. stjórnsýslulaga nr. 37/1993 í því sambandi, en þar kemur fram að málsaðili á rétt á endurupptöku máls hafi ákvörðun byggst á ófullnægjandi eða röngum upplýsingum um málsatvik.
Persónuvernd taldi að frekari skýringar um áðurnefnt atriði kynnu að hafa haft vægi við mótun á niðurstöðu fyrrgreinds úrskurðar. Í ljósi þess greindi stofnunin frá því með bréfi til áðurgreindra lögmanna málsaðila, dags. 25. nóvember 2015, að málið, sem leitt var til lykta með úrskurðinum, yrði endurupptekið. Tekið skal fram að sú ákvörðun tekur aðeins til atriða sem varða vinnslu sem fram fór á ábyrgð Arion-banka hf. Í úrskurði Persónuverndar, dags. 25. ágúst 2015, var einnig fjallað um vinnslu á vegum fyrrgreindrar fjárhagsupplýsingastofu og stendur úrskurðurinn óhaggaður hvað þau atriði varðar.
2.
Bréfaskipti í upprunalegu kvörtunarmáli
2.1.
Eins og fyrr greinir barst Persónuvernd hinn 28. janúar 2015 kvörtun frá [B] hrl. fyrir hönd áðurnefndra kvartenda yfir sendingu Arion banka hf. á upplýsingum um þá til skráningar hjá áðurnefndri fjárhagsupplýsingastofu. Um var að ræða skráningu á grundvelli veðskuldabréfs, dags. 2. september 2007, en samkvæmt 11. tölul. þess er heimilt að tilkynna vanskil, sem varað hafa lengur en 90 daga, til framangreinds fyrirtækis til slíkrar skráningar. Einnig segir í 9. tölul. að fasteign þá sem sett er að veði fyrir láninu megi, sé skuldin gjaldfallin, selja nauðungarsölu án dóms, sáttar eða fjárnáms, sbr. 2. tölul. 1. mgr. 6. gr. laga nr. 90/1991 um nauðungarsölu. Þá segir að gera megi fjárnám til fullnustu skuldarinnar án undangengins dóms eða réttarsáttar, sbr. 7. tölul. 1. mgr. 1. gr. laga nr. 90/1989 um aðför.
Í kvörtuninni segir meðal annars að um ræði skuldabréf sem Arion-banki hf. og kvartendur deili um hvort sé í vanskilum. Þá segir:
„Leyfi mér fyrir hönd umbj. minna, hjónanna [C] […], og [D] […], að senda Persónuvernd erindi þetta sem kvörtun vegna skráningar Arion-banka hf. á meintum vanskilum (að mati Arion-banka hf.) hjá umbj. mínum í vanskilaskrá Creditinfo-Lánstrausts hf. Er þess m.a. farið á leit að Persónuvernd neyti heimilda skv. 40. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og 5. gr. reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, til að umrædd skráning verði afmáð úr vanskilaskránni.
[…]
Um þessar mundir eru fyrir dómstólum nokkur mál þar sem reynir almennt á framsetningu greiðsluáætlana sem fylgt hafa skuldabréfum vegna neytendalána og gætu niðurstöður í þeim dómsmálum orðið leiðbeinandi í þessu máli. Í þeim málum er deilt um hvort upplýsingar í greiðsluáætlun teljist hafa verið veittar með réttum hætti. Í máli umbj. minna eru atvik þó mun skýrari þar sem engar tölulegar fjárhæðir um lántökukostnað voru tilteknar í lánasamningnum (eða með greiðsluáætlun) gagnvart öðrum greiðanda, og því lánveitanda óheimilt að krefja um greiðslu alls slíks kostnaðar.
Ljóst er að lögfræðileg rök eru að baki sjónarmiðum umbj. minna um hverju annmarkarnir á lánssamningnum eigi að varða í því tilliti hvernig reikna eigi lánið. Með bréfi undirritaðs lögmanns til Arion-banka hf., dags. 21. nóvember 2014, var krafist endurreiknings á umræddu skuldabréfi í samræmi við framangreindar forsendur. Jafnframt var krafist að tilkynning bankans til vanskilaskrár Creditinfo-Lánstrausts yrði dregin til baka. Áður höfðu umbj. mínir sjálf árangurslaust reynt að fá starfsmenn bankans að samningaborðinu varðandi þetta. Engin svör hafa heldur borist frá bankanum við umræddu bréfi mínu, utan símtals frá lögfræðiinnheimtu bankans þar sem fram kom að Arion-banki hf. hygðist ekki viðurkenna skyldu til slíks endurreiknings nema að fenginni úrlausn dómstóla þess efnis.
[E]r bankinn fyllilega meðvitaður um að krafa bankans á hendur umbj. mínum varðar atriði sem lögfræðilegur ágreiningur er um. Engu að síður heldur bankinn til streitu skráningu í vanskilaskrá vegna hennar, þrátt fyrir kröfur um að draga hana til baka. Að mati undirritaðs er augljóst að með því er Arion-banki hf. að beita vanskilaskránni fyrir sig sem verkfæri til innheimtu þ.e. að láta reyna á hvort umbj. mínir muni láta undan þeim þrýstingi sem skráningunni er ætlað að setja á þau, í stað þess að þurfa að láta reyna á réttmæti krafna bankans eftir viðurkenndum réttarfarsleiðum. Slík notkun vanskilaskrárinnar er klárlega í andstöðu við þann tilgang sem býr að baki því að heimila söfnun og skráningu upplýsinga sem varða fjárhagsmálefni einstaklinga og fyrirtækja skv. lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og reglugerð nr. 246/2001 en samkvæmt þeim þarf grundvöllur skráningar að vera sá að upplýsingar hafi afgerandi þýðingu við mat á fjárhag og lánstrausti hins skráða.“
Einnig er meðal annars vísað til ákvæðis í þágildandi starfsleyfi frá Persónuvernd til umræddrar fjárhagsupplýsingastofu (sbr. og sama ákvæði í núgildandi starfsleyfi), en þar var mælt fyrir um að vinnsla upplýsinga um umdeildar skuldir væri óheimil, sbr. það sem fyrr greinir þar að lútandi. Þá er er vísað til greinar 2.4 í starfsleyfinu, en þar var fjallað um skyldu fjárhagsupplýsingastofu til eyðingar rangra og villandi upplýsinga. Kom fram í 2. mgr. þess ákvæðis að drægi hinn skráði áreiðanleika upplýsinga í efa, og greindi til dæmis frá því að skuld hefði verið komið í skil, með greiðslu eða annarri aðferð, gæti fjárhagsupplýsingastofa hvorki gert þá kröfu til hans að hann bæri erindið upp skriflega né sett sem skilyrði að hann legði fram skrifleg gögn máli sínu til sönnunar. Hún mætti þó gera athugun hjá viðkomandi ábyrgðaraðila á réttmæti fullyrðingar hins skráða (sjá og sama ákvæði í núgildandi starfsleyfi).
2.2.
Með bréfi, dags. 4. mars 2015, var Arion-banka hf. veitt færi á að tjá sig um framangreinda kvörtun. Svarað var með bréfi, dags. 25. s.m., en þar segir meðal annars að greiðsluáskorun hafi verið birt fyrir kvartendum hinn 21. janúar 2015 vegna vanskila þeirra á afborgunum fyrrnefnds veðskuldabréfs. Hafi kvartendur borið upp andmæli við umrædda fjárhagsupplýsingastofu þar sem þeir hafi talið að ekki væri heimilt að skrá umrædda greiðsluáskorun á skrá fyrirtækisins um fjárhagsmálefni einstaklinga sökum þess að skuldin væri umdeild. Hafi kvartendur í kjölfarið verið teknir af skrá stofunnar hinn 9. febrúar 2015. Þá segir í svarbréfi bankans að hann telji sig ekki hafa miðlað röngum, villandi eða ófullkomnum upplýsingum til stofunnar, þó svo að nú kunni að vera um umdeilda skuld að ræða, enda hafi skuldin verið búin að vera í vanskilum lengi.
Með bréfi, dags. 30. mars 2015, óskaði Persónuvernd frekari skýringa frá Arion-banka hf., nánar tiltekið um hvort bankanum hefðu borist andmæli frá kvartendum við umræddri skuld áður en upplýsingar um vanskil voru sendar til skráningar hjá fyrrnefndri fjárhagsupplýsingastofu, sem og hvenær andmælin hefðu þá borist. Hefðu þau borist var þess jafnframt óskað að fram kæmi hvort þau hefðu verið skráð hjá bankanum, auk þess sem óskað var afrits þeirra.
Arion-banki hf. svaraði með bréfi, dags. 5. maí 2015, en þar segir meðal annars að upplýsingar um vanskil á láni kvartenda hafi verið sendar umræddri fjárhagsupplýsingastofu hinn 30. september 2014, þ.e. áður en bréf lögmanns kvartenda barst bankanum hinn 21. nóvember s.á. Fjárhagsupplýsingastofan hafi þá sent kvartendum bréf og upplýst um fyrirhugaða skráningu í vanskilaskrá. Hafi í því bréfi komið fram að upplýsingar um vanskil á umræddu láni yrðu færðar á skrá um fjárhagsmálefni og lánstraust einstaklinga 17 dögum eftir dagsetningu bréfsins nema stofunni bærust upplýsingar um uppgjör málsins. Þá hafi komið fram að viðtakandi tilkynningar ætti rétt á að andmæla skráningu, hvort sem væri munnlega eða skriflega.
Einnig segir í bréfi Arion-banka hf.:
„Bankinn hafði þannig þegar skráð vanskil kvartenda í vanskilaskrá áður en bréf [B] hrl. barst bankanum. Bankinn veit ekki til þess að sérstök andmæli hafi borist eftir að veðskuldabréfið féll í vanskil en þess má geta að kvartendur skrifuðu undir skilmálabreytingu á láninu, þar sem vanskilum var bætt við höfuðstól skuldarinnar, þann 2. maí 2014, með fyrirvara um lögmæti upphaflegs lánsskjals.“
2.3.
Með bréfi, dags. 6. maí 2015, var áðurnefndum lögmanni kvartenda veitt færi á að tjá sig um framangreint bréf Arion-banka hf. Svarað var með bréfi, dags. 21. s.m. Þar segir meðal annars að áréttuð séu fyrri sjónarmið sem vísað var til í upphaflegri kvörtun til Persónuverndar, þ. á m. lög nr. 77/2000, reglugerð nr. 246/2001 og sá tilgangur sem búi að baki því að heimila söfnun og skráningu upplýsinga sem varða fjárhagsmálefni einstaklinga og fyrirtækja samkvæmt umræddum lögum og reglugerð, sem og starfsleyfi Persónuverndar til handa fyrrgreindri fjárhagsupplýsingastofu. Einnig segir í svarbréfinu:
„Af svörum Arion banka hf. virðist helst mega ráða að bankinn álíti sig ekki þurfa að lúta þeim reglum sem gilda um skráningu í vanskilaskrá, enda virðist hann líta svo á að ekki skipti máli hvort um umdeilda skuld hafi verið að ræða. Telur bankinn öllu máli skipta að upplýsingarnar sem hann hafi miðlað til vanskilaskrár hafi ekki verið að mati hans sjálfs rangar, villandi eða ófullkomnar í skilningi ákvæðis 2.4. í starfsleyfi Persónuverndar til Creditinfo. […]
Í svörum bankans kemur ekki fram hver tilgangur hans hafi verið með skráningunni í vanskilaskrá. Ekki verður hjá því komist, miðað við svör og viðbrögð bankans, að ætla að hann hafi fyrst og fremst snúist um aðferð við innheimtu en ekki miðlun áreiðanlegra upplýsinga með sanngjörnum, málefnalegum og lögmætum hætti, sbr. 1. mgr. 7. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.“
3.
Samskipti við persónuverndarstofnanir
í Noregi og Danmörku
Í máli af tilefni fyrrnefndrar kvörtunar, dags. 28. janúar 2015, sendi Persónuvernd fyrirspurn til persónuverndarstofnananna í Danmörku og Noregi, þ.e. í tölvupósti hinn 2. júlí s.á. Nánar tiltekið var spurt hvernig þær túlkuðu hugtakið „umdeild skuld“ í tengslum við vinnslu upplýsinga um fjárhagsmálefni og lánstraust einstaklinga. Svar barst frá norsku stofnuninni hinn 6. júlí 2015 en hinni dönsku hinn 24. ágúst s.á. Í svari norsku stofnunarinnar kemur fram að hafi krafa verið umdeild teljist hún það ekki lengur þegar fyrir liggur aðfararhæfur dómur eða önnur aðfararhæf ákvörðun. Þá kemur meðal annars fram í svari dönsku stofnunarinnar að til að krafa teljist umdeild, þannig að ekki megi skrá upplýsingar um hana, nægi til dæmis yfirlýsing skuldara um galla á unnu verki, sem og krafa um endurreikning.
4.
Bréfaskipti í enduruppteknu máli
4.1.
Eins og áður greinir fór [A] hdl. þess á leit fyrir hönd Arion-banka hf., með bréfi, dags. 10. nóvember 2015, að mál, sem lyktaði með úrskurði Persónuverndar, dags. 25. ágúst s.á. (mál nr. 2015/138), yrði endurupptekið. Í bréfinu er lýst þeirri afstöðu að skort hafi á að veittur væri andmælaréttur um það atriði hvort fyrirvari við lögmæti kröfu feli í sér að skuld teljist umdeild, þ.e. samkvæmt 3. mgr. í grein 2.1 í því starfsleyfi Persónuverndar til handa umræddri fjárhagsupplýsingastofu, dags. 19. desember 2013 (mál nr. 2013/1169), sem í gildi var þegar atvik málsins áttu sér stað. Féllst Persónuvernd á að veita hefði mátt andmælarétt um umrætt atriði og endurupptók því málið á grundvelli 1. tölul. 1. mgr. 24. gr. stjórnsýslulaga nr. 37/1993, sem fyrr segir.
Í framangreindu bréfi lögmanns Arion-banka hf. eru færð fyrir því rök að slíkur fyrirvari, sem hér um ræðir, merki ekki að krafa teljist umdeild samkvæmt áðurnefndu starfsleyfisákvæði. Er þar vísað til orðalags ákvæðisins sem er á þá leið að vinnsla upplýsinga um umdeildar skuldir sé óheimil, en það eigi við hafi skuldari andmælt skuld og hún ekki verið staðfest með réttargjörð. Ekki sé um það deilt að slík réttargjörð hafi ekki verið til staðar þegar Arion-banki hf. sendi upplýsingar um kvartendur til skráningar hjá Creditinfo Lánstrausti hf. Hins vegar telji bankinn að því skilyrði hafi ekki verið fullnægt að borist hafi andmæli frá kvartendum við skuldinni, enda hafi fyrirvarinn á fyrrgreindri skilmálabreytingu hinn 2. maí 2014 og undirritanir kvartenda á honum ekki falið slíkt í sér. Um það segir nánar:
„Eins og sjá má af undirrituninni og fyrirvaranum er efni hans eingöngu það að skuldarar skuldbinda sig til að fara að ákvæðum skilmálabreytingarinnar að því sjálfsagða skilyrði uppfylltu að hinn upphaflegi lánasamningur teljist lögmætur. Mátti umbj.m. ætla að með fyrirvara sínum væru skuldarar að halda til haga hverjum þeim mótbárum sem þeir kynnu að eiga rétt á að hafa uppi varðandi hið upphaflega viðskiptabréf, þ.e. að fyrirvaranum væri ætlað að koma í veg fyrir að undirritun skilmálabreytingarinnar myndi sem slík leiða til mótbárumissis skuldara. Í fyrirvaranum er því hins vegar hvorki haldið fram að lánið sé ólögmætt né eru þar nein önnur andmæli höfð uppi við umbj.m. um skuldina. Er það því bersýnilega röng ályktun í úrskurði Persónuverndar, sem dregin er af fyrirvaranum, að skuldarar hafi með honum, þegar í maí 2014, haft uppi andmæli við því að umrædd skuld væri lögmæt.“
Einnig segir meðal annars að standi fyrrnefndur úrskurður Persónuverndar, dags. 25. ágúst 2015, hafi það í för með sér að fleiri mál en ella fari í lögfræðiinnheimtu, en viðskiptavinir Arion-banka hf. hafi jafnan brugðist fljótt við þegar þeim hafi borist bréf um væntanlega færslu upplýsinga á skrá áðurnefndrar fjárhagsupplýsingastofu um fjárhagsmálefni og lánstraust einstaklinga. Aukin lögfræðiinnheimta hafi í för með sér kostnað og óþægindi fyrir viðkomandi viðskiptavini. Þá fái skuldarar nú tækifæri til að komast fyrirfram hjá færslu upplýsinga á áðurnefnda skrá með því einu að setja almennan fyrirvara við að skuld sé ólögmæt en án þess að gera neinn ágreining um að slíkum fyrirvara sé fullnægt. Úrskurðurinn muni því að óbreyttu geta leitt til þess að stöðva þurfi færslu á upplýsinga á skrá Creditinfo Lánstrausts hf.
Með bréfi lögmanns Arion-banka hf. fylgdi afrit af skjali um fyrrgreinda skilmálabreytingu, dags. 2. maí 2014. Þar er að finna svohljóðandi fyrirvara við undirskrift kvartenda: „með fyrirvara um lögmæti upphaflegs lánsskjals/samn“.
4.2.
Með bréfi, dags. 25. nóvember 2015, var [B] hrl. boðið að tjá sig fyrir hönd kvartenda um framangreint bréf lögmanns Arion-banka hf. Svarað var með bréfi, dags. 15. janúar 2016. Þar er meðal annars rakið að upphaflegt veðskuldabréf, dags. 13. september 2007, var gefið út af Sparisjóði Reykjavíkur og nágrennis sem síðar rann inn í Dróma hf. sem í bréfinu er í raun sagður hafa verið þrotabú sjóðsins. Seinna hafi hluti af eignasafni Dróma hf. verið yfirtekinn af Arion-banka hf., en þá þegar hafi kvartendur verið búnir að koma á framfæri andmælum. Um það segir nánar:
„Á að upphaflegur lánasamningur væri haldinn alvarlegum göllum, sem fælust í því að upplýsingaskyldu samkvæmt lögum um neytendalán hafði ekki verið sinnt, bentu kvartendur ítrekað, bæði í samtölum við starfsmenn Dróma sem og í tölvupósti til þeirra. Það er hins vegar rétt að kvartendur hafa sennilega ekki mótmælt með sérstöku bréfi eftir að lánið komst í eigu Arion banka hf., en auðvitað máttu þeir treysta því að allar upplýsingar sem lágu hjá Dróma um lánið, eins og umrædd mótmæli, fylgdu yfirfærslunni til Arion banka hf. Þá áttu kvartendur samtöl við starfsmenn Arion banka hf. um þetta atriði og minnist kvartandi, [D], þess sérstaklega að hafa rætt þetta í síma við [E], starfsmann Arion banka hf., stuttu áður en skilmálabreytingin var gerð þann 2. maí 2014, þar sem hún sagði réttilega að óljóst væri hvaða afleiðingar þessir annmarkar hefðu á kröfuna.“
Einnig segir að framangreind forsaga skipti ekki máli varðandi þann ágreining sem hér er til umfjöllunar, enda hafi sá fyrirvari, sem kvartendur gerðu við skilmálabreytinguna hinn 2. maí 2014, falið í sér andmæli við lögmæti umræddrar kröfu. Um það segir nánar:
„Það er […] mjög órökrétt að halda því fram að þegar einstaklingar setja inn fyrirvara í staðlað skjal frá banka að í honum felist ekki einhver önnur merking en almenn yfirlýsing um eitthvað sem skiptir engu máli. Það er einfaldlega ekki tækt að halda því fram að orðalagið fyrirvari þýði bara ekki neitt og vísi í eitthvað sem engu skipti.“
Að auki segir meðal annars að fyrirvarinn, sem um ræðir, hafi verið orðaður með eins skýrum hætti og unnt hafi verið í ljósi þess að skjalið, sem hann var ritaður inn í, hafi ekki gefið svigrúm til mikilla útskýringa. Orðalagið „með fyrirvara um lögmæti upphaflegs lánsskjals/samn“, sem notað hefði verið í fyrirvaranum í stað þess að vísa til „kröfu“ eða „skuldar“, hafi falið í sér tilvísun til ákvæða um upplýsingaskyldu lánveitanda í lögum um neytendalán, en þar sé notast við hugtakið „lánssamningur“. Þá er meðal annars vísað til þess skýringarsjónarmiðs að samningsákvæði skuli jafnan túlka þannig að þau verði ekki merkingarleysa.
Vikið er að áðurgreindu bréfi, dags. 14. nóvember 2015, sem lögmaður kvartenda sendi Arion-banka hf. fyrir þeirra hönd. Er lýst þeirri afstöðu að ekki einungis fyrirvarinn á skilmálabreytingunni hafi falið í sér andmæli við lögmæti umræddrar kröfu heldur hafi slík andmæli einnig komið fram í þessu bréfi. Þá er áréttað það sem fram kemur í kvörtun af hálfu lögmannsins að Arion-banki hf. hafi haldið skráningu hjá Creditinfo-Lánstrausti hf. til streitu þrátt fyrir þetta bréf.
4.3.
Í tölvupósti hinn 21. janúar 2016 óskaði Persónuvernd þess af lögmanni kvartenda að hann sendi stofnuninni afrit af þeim tölvupóstsamskiptum þeirra og Dróma hf. sem vísað er til í fyrrgreindu bréfi hans, dags. 15. s.m. Umbeðið afrit barst ekki frá lögmanninum.
Einnig bar Persónuvernd, í tölvupósti hinn 21. janúar 2016, upp sömu ósk við lögmann Arion-banka hf., ásamt því sem hún varð við beiðni hans í símtali sama dag um afrit af bréfi lögmanns kvartenda, dags. 15. s.m. Auk þess óskaði stofnunin þess af lögmanni Arion-banka hf. að hann sendi henni gögn um símasamskipti við kvartendur sem til kynnu að vera hjá bankanum. Svar barst með bréfi, lögmannsins, dags. 5. febrúar 2016. Í því segir meðal annars að gögn um umbeðin tölvupóst- og símasamskipti finnist ekki. Jafnframt er því mótmælt sem ósönnuðu að kvartendur hafi andmælt umræddri kröfu í slíkum samskiptum í aðdraganda skilmálabreytingarinnar hinn 2. maí 2014. Þá er vikið að því sem fram kemur í bréfi lögmanns kvartenda um að afstaða Arion-banka hf. til fyrirvara við lögmæti kröfu sé sú að hann hafi í raun enga þýðingu. Nánar tiltekið segir í bréfi lögmanns bankans að því sé vísað á bug sem röngu. Byggt sé á því að bankinn „hafi mátt búast við því að í fyrirvaranum fælist einmitt það: fyrirvari“. Að auki segir:
„Hann hafi því mátt ætla að með honum hafi kvartendur, sem skuldarar viðskiptabréfs sem verið var að skilmálabreyta, verið að halda til haga hverjum þeim mótbárum sem þeir kynnu að hafa við hið upphaflega veðskuldabréf, þar á meðal þeim sem þeir kynnu ella að hafa misst við fyrirvaralausa undirritun sína á hið skilmálabreytta bréf. Þetta er tilgangur fyrirvara, þ.e. að taka fram að áskilin séu tiltekin réttindi eða uppfylling skilyrða þrátt fyrir að löggerningur sé sem slíkur samþykktur. Umbj.m. mátti því með engu móti búast við að í fyrirvaranum fælist eitthvað annað og meira, svo sem yfirlýsing um að hafður yrði upp ágreiningur um lögmæti skuldarinnar.“
Einnig er því mótmælt í bréfi lögmannsins sem ósönnuðu að umræddur fyrirvari hafi falið í sér skírskotun til laga um neytendalán, enda sé þar ekki minnst á þau lög, auk þess sem engin gögn liggi fyrir í málinu um að kvartendur hafi ætlað að vísa til þeirra þegar þeir gerðu fyrirvarann. Þá er því mótmælt að fyrirvarinn hafi verið orðaður með eins skýrum hætti og unnt var í ljósi þess pláss sem var á skjalinu sem hann var ritaður í. Hafi kvartendur getað komið fyrir beinni yfirlýsingu um að þau teldu upphaflegan lánssamning ólögmætan í stað orðalagsins „með fyrirvara um lögmæti upphaflegs lánsskjals/samn“. Til dæmis hefði mátt rita: „upphaflegt lánsskjal/samn er ólögmætur“.
Að auki er meðal annars vikið að því sem fram kemur í bréfi lögmanns kvartenda, dags. 15. janúar 2016, um að Arion-banki hf. hafi haldið skráningu hjá Creditinfo Lánstrausti hf. til streitu þrátt fyrir áðurnefnt bréf hans fyrir hönd kvartenda, dags. 14. nóvember 2015. Segir að því sé vísað á bug, enda hafi það ekki verið í valdi bankans að halda skráningunni til streitu. Um það segir nánar:
„Af þessu tilefni skal bent á að skráningar í vanskilaskrá Creditinfo og afmáning slíkra skráninga er á forræði Creditinfo en ekki umbj.m. Það er því ekki á valdi umbj.m. að „halda til streitu“ skráningum á vanskilaskrá. Í því tilviki sem hér um ræðir komu andmæli fyrst fram eftir að Creditinfo hafði skráð vanskilin í skrár sínar. Samkvæmt því sem fram kemur í niðurlagi hins kærða úrskurðar mun kvartendum áður hafa verið veitt tækifæri til að andmæla hinni fyrirhuguðu skráningu, án þess að slíkar athugasemdir hafi borist. Það stóð því kvartendum nær en umbj. mínum að svara Creditinfo og koma athugasemdum sínum, ef einhverjar voru orðnar á þeim tíma, á framfæri við fjárhagsupplýsingastofuna áður en skráningin fór fram.“
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Ábyrgðaraðili að vinnslu
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af framangreindu er ljóst að sú aðgerð, að skrá upplýsingar um vanskil kvartenda í vanskilaskrá Creditinfo, felur í sér vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Arion-banki hf. vera ábyrgðaraðili að umræddri vinnslu, þ.e. miðlun upplýsinga til fjárhagsupplýsingastofunnar til skráningar hjá fjárhagsupplýsingastofunni Creditinfo Lánstrausti hf.
2.
Lögmæti vinnslu
Svo að vinna megi með persónuupplýsingar verður ávallt að vera fullnægt kröfum einhvers af heimildarákvæðum 8. gr. laga nr. 77/2000. Hefur verið litið svo á að vinnsla upplýsinga um fjárhagsmálefni og lánstraust einstaklinga geti meðal annars átt sér stoð í 7. tölul. 1. mgr. þeirrar greinar, þ.e. á þeim grundvelli að vinnsla sé nauðsynleg í þágu lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.
Að auki verður, eins og ávallt þegar unnið er með persónuupplýsingar, að fara að öllum grunnkröfum 7. gr. laga nr. 77/2000, þ. á m. um að persónuupplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti slíkra upplýsinga (1. tölul.); að þær skulu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skulu vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem eru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.).
Um skráningu upplýsinga um fjárhagsmálefni og lánstraust er fjallað í reglugerð nr. 246/2001 um söfnun og miðlun slíkra upplýsinga, sbr. m.a. 45. gr. laga nr. 77/2000. Samkvæmt 2. gr. reglugerðarinnar verður aðili, sem slíka söfnun og miðlun hefur með höndum, þ.e. fjárhagsupplýsingastofa, að hafa fengið starfsleyfi frá Persónuvernd. Sá aðili sem þeim upplýsingum sem hér um ræðir var miðlað til, þ.e. fjárhagsupplýsingastofan Creditinfo Lánstraust hf., hafði þá slíkt starfsleyfi, dags. 19. desember 2013 (mál nr. 2013/1169) (sbr. nú starfsleyfi, dags. 28. desember 2015 (mál nr. 2015/1428)).
Þó svo að starfsleyfi sé veitt til handa fjárhagsupplýsingastofu geta skyldur tengdar þeirri upplýsingavinnslu, sem fram fer á stofunni, einnig hvílt á öðrum. Er þá meðal annars til þess að líta að áskrifendur að upplýsingaþjónustu stofunnar geta eftir atvikum sjálfir sent henni upplýsingar til skráningar, en svo háttaði til í máli þessu. Nánar tiltekið miðlaði Arion-banki hf. upplýsingum til umræddrar fjárhagsupplýsingastofu um að kvartendur í málinu hefðu vanefnt kröfu samkvæmt veðskuldabréfi, bundnu þeim skilmála að upplýsingar um vanskil, sem vara lengur en 90 daga, verði send því til skráningar. Við slíka miðlun bar bankanum, m.a. í ljósi fyrrnefnds ákvæðis 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, að líta til 3. mgr. í grein 2.1 í þágildandi starfsleyfi (sbr. sama ákvæði í núgildandi starfsleyfi), þess efnis að vinnsla upplýsinga um umdeildar skuldir væri óheimil, en það ætti við ef skuldari hefði andmælt skuld og hún ekki verið staðfest með réttargjörð.
Eins og rakið hefur verið gerðu kvartendur fyrirvara við lögmæti upphaflegs veðskuldabréfs, dags. 2. september 2007, þegar þeir rituðu undir skilmálabreytingu hinn 2. maí 2014. Líta verður svo á að í slíkum fyrirvara felist að sá sem hann gerir telji vafa leika á um að farið hafi verið að lögum þegar krafa samkvæmt skuldaskjali stofnaðist. Einnig ber að líta til þess markmiðs laga nr. 77/2000 að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs og að tryggja áreiðanleika þeirra og gæði. Af því leiðir að ekki er unnt að gera strangar kröfur til yfirlýsingar frá hinum skráða um að krafa teljist umdeild. Á þessu markmiði var meðal annars byggt í grein 2.4 í fyrrnefndu starfsleyfi sem í gildi var þegar atvik máls þessa urðu (sbr. sama ákvæði núgildandi starfsleyfis) um skyldu til eyðingar rangra og villandi upplýsinga. Kom þar fram, eins og áður segir, að drægi hinn skráði áreiðanleika upplýsinga í efa gæti fjárhagsupplýsingastofa hvorki krafist frá honum skriflegs erindis né skriflegra gagna en yrði þess í stað að gera athugun hjá viðkomandi ábyrgðaraðila. Þá má benda á að samkvæmt danskri framkvæmd duga einfaldar yfirlýsingar hins skráða til þess að krafa teljist umdeild, sbr. 3. kafla í I. þætti hér að framan.
Þegar til alls framangreinds er litið telur Persónuvernd að í umræddum fyrirvara kvartenda hafi falist slík yfirlýsing að um umdeilda skuld hafi verið að ræða í skilningi 3. mgr. greinar 2.1 í fyrrnefndu starfsleyfi, dags. 19. desember 2013 (sbr. sama ákvæði núgildandi starfsleyfis). Þá lá ekki fyrir bindandi réttargjörð til staðfestingar á skuldinni. Í samræmi við það sem fyrr er rakið var Arion-banka hf. þá jafnframt óheimilt að miðla upplýsingum um kröfuna til fyrrnefndrar fjárhagsupplýsingastofu.
Ú r s k u r ð a r o r ð:
Miðlun Arion-banka hf. hinn 30. september 2014 á upplýsingum um [C] og [D] til fjárhagsupplýsingastofunnar Creditinfo Lánstrausts hf. samrýmdist ekki lögum nr. 77/2000.