Upplýsingar um fæðingarland
Reykjavík, 30. maí 2016
Álit
Hinn 30. maí 2016 samþykkti stjórn Persónuverndar, með vísun til 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000, svohljóðandi álit í máli nr. 2015/1320:
I.
Málsmeðferð
1.
Tildrög máls
Þann 14. október 2015 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi), vegna söfnunar Landsbankans og Kviku (áður MP banka - Straums) á upplýsingum um fæðingarstað viðskiptavina sinna. Í kvörtuninni segir m.a. að kvartandi sé viðskiptavinur Landsbankans og börn hans tvö, sem fædd séu erlendis, eigi reikninga í Kviku. Kvartandi gerir athugasemd við það að í viðskiptaskilmálum beggja bankanna komi fram að samkvæmt lögum um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka beri bönkunum að kanna áreiðanleika viðskiptavina sinna við upphaf viðskiptasambands og vegna einstakra viðskipta, og til að fullnægja þessari lagaskyldu óski bankarnir eftir persónuupplýsingum nýrra viðskiptavina, þar á meðal upplýsingum um fæðingarstað. Kvartandi telur að upplýsingar um fæðingarland teljist til viðkvæmra persónuupplýsinga þar sem þær feli í sér upplýsingar um uppruna, sbr. a-lið 8. tölul. 2. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Söfnun, skráning og eftir atvikum notkun bankanna á þessum upplýsingum hafi ekki málefnalegan og lögmætan tilgang og samrýmist ekki lögum nr. 77/2000.
Í kvörtuninni kemur einnig fram að kvartandi telji Landsbankann nýta upplýsingar um fæðingarstað í öðrum tilgangi en gefinn er upp við söfnun þeirra, sbr. framangreint, en kvartandi tilgreinir að í samskiptum kvartanda við Landsbankann hafi verið greint frá því að bankinn nýti upplýsingarnar til þess að ákvarða skattalega stöðu einstaklinga gagnvart öðru ríki.
Að fengnum skýringum Landsbankans og Kviku í málinu var það mat Persónuverndar að ekki væri til staðar ágreiningur um vinnslu persónuupplýsinga sem úrskurðað yrði um á grundvelli 2. mgr. 37. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Stofnunin ákvað engu að síður að taka það álitaefni til skoðunar hvort upplýsingar um fæðingarland teldust til viðkvæmra persónuupplýsinga, sbr. heimild í 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000.
2.
Bréfaskipti
Með bréfi, dags. 13. janúar 2016, var Landsbankanum og Kviku boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Var þess sérstaklega óskað að fram kæmi hvort bankarnir ynnu viðkvæmar persónuupplýsingar um uppruna viðskiptavina sinna, þ.e. fæðingarland, þjóðerni eða því um líkt. Þá var þess óskað að fram kæmi á hvaða heimild í 1. mgr. 8. gr. og 1. mgr. 9. gr. laga nr. 77/2000 slík vinnsla byggðist og í hvaða tilgangi hún færi fram.
2.1. Samskipti við Landsbankann
Í svarbréfi Landsbankans, dags. 26. janúar 2016, eru svör bankans við erindi kvartanda frá því í ágúst 2015 rakin og áréttað að bankinn telji að vinnsla þeirra persónuupplýsinga, sem mál þetta varði, hafi verið heimil með vísan til 3. og 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Þá telji bankinn að upplýsingar um fæðingarstað feli ekki í sér viðkvæmar persónuupplýsingar og að almennt geti ríkisfang eða fæðingarland eitt og sér ekki fallið undir hugtakið „uppruna“ í skilningi a-liðar 8. tölul. 2. gr. laga nr. 77/2000. Í svarbréfinu segir að upplýsingar um fæðingarland hafi verið skráðar með vísan til samnings íslenska ríkisins við bandarísk yfirvöld um upplýsingaskipti (FATCA), auk þess sem Efnahags- og framfarastofnun Evrópu, OECD, hafi sett alþjóðlegan staðal um sjálfkrafa upplýsingaskipti í skattamálum milli landa (CRS). Með undirritun yfirlýsingar vegna upptöku staðalsins hafi íslenska ríkið skuldbundið sig til að senda upplýsingar á grundvelli CRS, meðal annars um fæðingarland. Landsbankinn hafi unnið að því að innleiða þær reglur sem staðallinn kveður á um í aðdraganda gildistöku hans í ársbyrjun 2016. Í svarbréfinu er að lokum upplýst að í kjölfar samskipta bankans við kvartanda haustið 2015 hafi bankinn ákveðið að hætta að óska eftir upplýsingum um fæðingarstað viðskiptavina sinna við stofnun viðskipta. Hafi það verið gert að höfðu samráði við Ríkisskattstjóra og fjármála- og efnahagsráðuneytið, sem beri ábyrgð á innleiðingu framangreinds staðals. Landsbankinn vinni því ekki lengur persónuupplýsingar um fæðingarstað viðskiptavina sinna.
2.2. Samskipti við Kviku
Í svarbréfi Kviku, dags. 29. janúar 2016, var á það bent að kvartandi væri ekki viðskiptavinur bankans og enginn raunverulegur ágreiningur væri til staðar sem kvartandi hefði hagsmuni af að fá leyst úr með úrskurði Persónuverndar. Með bréfi Persónuverndar til Kviku, dags. 10. febrúar 2016, var á það bent að í athugasemdum kvartanda, dags. 9. september 2015, kæmi fram að börn hans væru viðskiptavinir bankans og að hann teldi að bankinn hefði skráð upplýsingar um fæðingarland þeirra. Af því tilefni væri óskað eftir nánari skýringum um slíka skráningu frá Kviku. Í svarbréfi Kviku, dags. 17. mars 2016, var það staðfest að börn kvartanda væru viðskiptavinir bankans, sbr. tvær umsóknir um opnun bankareikninga í þeirra nafni frá árinu 2009. Hins vegar hefði Kvika ekki unnið viðkvæmar persónuupplýsingar um uppruna þeirra, þ.e. fæðingarland eða þjóðerni eða því um líkt, eins og áðurnefndar umsóknir um opnun bankareikninga bæru meðal annars vitni um.
2.3. Samskipti við kvartanda
Með bréfi, dags. 29. mars 2016, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Landsbankans og Kviku til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Með vísan til svara Landsbankans og Kviku óskaði Persónuvernd jafnframt eftir afstöðu kvartanda til þess hvort hann teldi ágreining enn vera til staðar í málinu, og þá í hverju hann fælist.
Í svarbréfi kvartanda, dags. 18. apríl 2016, segist hann fagna því að Landsbankinn hafi ákveðið að láta af söfnun upplýsinga um fæðingarland viðskiptavina sinna. Bankinn hafi hins vegar ekki upplýst hvað hann hyggist gera við áður skráðar upplýsingar um fæðingarland. Af svörum bankans megi ráða að þrátt fyrir að hann hafi látið af söfnun upplýsinga um fæðingarland viðskiptavina sinna telji hann að slíkar upplýsingar teljist ekki viðkvæmar persónuupplýsingar í skilningi laga nr. 77/2000 og að bankanum sé heimil söfnun þeirra. Ágreiningur sé því enn um þetta, og kvartandi óski eftir því að Persónuvernd úrskurði um það hvort upplýsingar um fæðingarland teljist til viðkvæmra persónuupplýsinga í skilningi laga nr. 77/2000 og hvort bankanum beri að eyða þeim upplýsingum sem þegar hafi verið skráðar um fæðingarland. Jafnframt segir í svarbréfinu að ef raunin sé sú að Kvika hafi ekki unnið upplýsingar um fæðingarland barna kvartanda sé ekki um neinn ágreining að ræða á milli hans og Kviku. Hins vegar sé ljóst að Kvika safni slíkum upplýsingum um nýja viðskiptavini sína. Því sé mikilvægt að fá úr því skorið hvort upplýsingar um fæðingarland teljist til viðkvæmra persónuupplýsinga í skilningi laga nr. 77/2000.
II.
Afmörkun úrlausnarefnis
Samkvæmt 2. mgr. 37. gr. laga nr. 77/2000 úrskurðar Persónuvernd í ágreiningsmálum sem upp kunna að koma um vinnslu persónuupplýsinga. Eins og fram hefur komið liggur ekki fyrir að Kvika eða Landsbankinn hafi skráð upplýsingar um fæðingarland kvartanda eða barna hans. Jafnframt hefur Landsbankinn tilgreint að hann hafi hætt skráningu á upplýsingum um fæðingarland viðskiptavina sinna. Í ljósi framangreinds og bréfaskipta vegna málsins liggur því ekki fyrir að kvartandi hafi einstaklingsbundinna lögvarinna hagsmuna að gæta af úrskurði um ágreining er varðar vinnslu persónuupplýsinga um hann sjálfan eða börn hans. Í því felst jafnframt að kvartandi telst ekki vera aðili máls í skilningi stjórnsýslulaga nr. 37/1993, eins og það hugtak hefur verið skilgreint í stjórnsýslurétti, en þar er m.a. byggt á því að um slíka hagsmuni sé að ræða sem að framan greinir.
Í ljósi framangreinds og þess að Landsbankinn og Kvika skrá ekki upplýsingar um fæðingarland kvartanda eða barna hans er það mat Persónuverndar að ekki sé til staðar ágreiningur um vinnslu persónuupplýsinga sem úrskurðað verður um á grundvelli 2. mgr. 37. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.
Engu að síður er ljóst af gögnum málsins að óvissa er uppi um það hvort upplýsingar um fæðingarland teljist viðkvæmar persónuupplýsingar í skilningi laga nr. 77/2000 eða ekki. Persónuvernd getur tjáð sig, samkvæmt beiðni eða að eigin frumkvæði, um álitaefni varðandi meðferð persónuupplýsinga, sbr. 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000. Hefur Persónuvernd ákveðið að taka það álitaefni til skoðunar hvort upplýsingar um fæðingarland teljist til viðkvæmra persónuupplýsinga.
III.
Álit stjórnar Persónuverndar
Í 8. tölul. 2. gr. laga nr. 77/2000 er tilgreint hvaða persónuupplýsingar teljist til viðkvæmra persónuupplýsinga. Samkvæmt a-lið 8. tölul. 2. gr. teljast upplýsingar um uppruna til viðkvæmra persónuupplýsinga, en orðið „uppruni“ er notað sem þýðing á hugtakinu „ethnic origin“ í enskum texta persónuverndartilskipunarinnar nr. 95/46/EB, sem liggur lögum nr. 77/2000 til grundvallar. Hugtakið hefur verið þýtt á íslensku sem „þjóðlegur uppruni“, sbr. t.d. 1. gr. og fleiri ákvæði Alþjóðasamnings SÞ um afnám alls kynþáttamisréttis, þótt það nái ekki fyllilega efnislegri merkingu þess. Hugtakið vísar einkum til þátta sem tengjast félagslegum, menningarlegum, trúarlegum eða tungumálalegum uppruna einstaklinga, en hefur ekkert að gera með fæðingarland þeirra, ríkisfang eða sambærileg atriði um tengsl þeirra við ríki. Ekki verður því talið að upplýsingar um fæðingarland einar og sér falli undir það hugtak. Með vísan til framangreinds er það álit Persónuverndar að upplýsingar um fæðingarland teljist ekki viðkvæmar persónuupplýsingar í skilningi laga nr. 77/2000. Vinnsla þeirra þarf því ekki að styðjast við heimild í 9. gr. laga nr. 77/2000, en hins vegar verður einhverri af kröfum 8. gr. laganna að vera fullnægt.
Umrædd kvörtun beinist ekki að varðveislu Landsbankans á upplýsingum um fæðingarland kvartanda. Hins vegar má ráða af fylgigögnum með kvörtuninni, sem og svarbréfi kvartanda til Persónuverndar, dags. 18. apríl 2016, að kvartandi telji varðveislu bankans á upplýsingum um fæðingarland viðskiptavina sinna óheimila. Af því tilefni minnir Persónuvernd á að í 1. mgr. 26. gr. laga nr. 77/2000 kemur fram að þegar ekki er lengur málefnaleg ástæða til að varðveita persónuupplýsingar skuli ábyrgðaraðili eyða þeim. Málefnaleg ástæða til varðveislu upplýsinga geti m.a. byggst á fyrirmælum í lögum eða á því að ábyrgðaraðili vinni enn með upplýsingarnar í samræmi við upphaflegan tilgang með söfnun þeirra. Þá segir í 1. málsl. 2. mgr. 26. gr. að ef ákvæði annarra laga standi því ekki í vegi geti skráður aðili engu að síður krafist þess að upplýsingum um hann, skv. 1. mgr., sé eytt eða notkun þeirra bönnuð ef slíkt telst réttlætanlegt út frá heildstæðu hagsmunamati.
Samkvæmt því sem að framan hefur verið rakið er ljóst að Landsbankinn telur sig ekki lengur hafa þörf fyrir upplýsingar um fæðingarland viðskiptavina sinna. Það er bankans, sem ábyrgðaraðila vinnslunnar, að meta, meðal annars út frá þeim sjónarmiðum sem rakin eru í 26. gr. laga nr. 77/2000, hvort málefnaleg ástæða sé til að varðveita upplýsingar um fæðingarland viðskiptavina bankans. Mat hans getur þó sætt endurskoðun Persónuverndar, berist stofnuninni formleg kvörtun vegna ágreinings um eyðingu framangreindra upplýsinga.
Á l i t s o r ð
Upplýsingar um fæðingarland teljast ekki viðkvæmar persónuupplýsingar skv. a-lið 8. tölul. 2. gr. laga nr. 77/2000.