Símhringing á vegum stúdentahreyfingar
Úrskurður
Á fundi stjórnar Persónuverndar hinn 22. júní 2016 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/236:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Persónuvernd hefur borist kvörtun, dags. 2. febrúar 2016, frá [A] yfir að hringt hafi verið í hann frá Vöku, félagi lýðræðissinnaðra stúdenta, til að kynna honum stefnumál félagsins. Segir í kvörtun að hann sé skráður á bannskrá Þjóðskrár Íslands, haldna samkvæmt 2. mgr. 28. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, en á þeirri skrá eru nöfn einstaklinga sem andmæla því að beint sé að þeim beinni markaðssetningu. Kemur fram að kvartandi telur símtalið hafa farið í bága við þetta ákvæði, en í því sambandi vísar hann til úrskurðar Persónuverndar, dags. 26. júní 2015 (mál nr. 2015/129), þar sem komist var að þeirri niðurstöðu að við símhringingar frá nemendafélögunum Vöku og Röskvu vegna stúdentakosninga við Háskóla Íslands hefði verið óheimilt að hringja í bannskráða einstaklinga.
Með bréfi, dags. 10. mars 2016, ítrekuðu með bréfi, dags. 29. apríl s.á., var Vöku veitt færi á að tjá sig um framangreinda kvörtun. Svarað var í tölvupósti hinn 13. maí 2016. Þar segir:
„Símanúmer [A] fannst á innraneti skólans, Uglunni, samkvæmt skjalinu sem ég finn það í og gerðum við því ráð fyrir að væri í lagi að hringja í hann. Okkur datt ekki í hug að Uglan innihéldi símanúmer sem væru bannmerkt í Þjóðskrá. Hringt hefur verið í hann að öllum líkindum einungis í þeim góða tilgangi að spyrja hann að því hvað honum þætti mega fara betur við háskólann, en það er verkefnið sem var í gangi þann 29. janúar. Allir þeir sem hringja frá okkur fá þá þjálfun að bjóða viðkomandi að fá að heyra hvað við höfum að segja, en ættu ekki að byrja á því að kynna stefnumálin beint. Við leggjum upp með það að ef nemandi vill ekki heyra um stefnumálin okkar, þá eigi hann kost þess að segja nei, en þá þökkum við fyrir og óskum viðkomandi góðs dags.
Við höfum ekki náð að komast að því hver það var sem hringdi í hann en okkur þykir þetta mál mjög leiðinlegt.
Meira höfum við ekki að segja um þetta mál, við viðurkennum mistökin og lærum af þessu.“
Með bréfi, dags. 17. maí 2016, var kvartanda veitt færi á að tjá sig um framangreint svar. Ekki barst skriflegt svar frá kvartanda, en í símtali hans og starfsmanns Persónuverndar hinn 15. júní 2016 kom fram að hann áréttaði kvörtun sína.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Ábyrgðaraðili
Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu greinar. Af framangreindu leiðir að umrædd notkun á símanúmeri kvartanda, skráðu á innra net Háskóla Íslands, fól í sér vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 77/2000, sem og valdsvið Persónuverndar, sbr. 37. gr. laganna.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Vaka vera ábyrgðaraðili að umræddri vinnslu.
2.
Lögmæti vinnslunnar
Svo að vinnsla persónuupplýsinga sé heimil verður hún ávallt að samrýmast einhverju skilyrðanna í 1. mgr. 8. gr. laga nr. 77/2000. Þegar um ræðir vinnslu í þágu beinnar markaðssetningar getur einkum 7. tölul. þeirrar málsgreinar komið til greina, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.
Að auki ber meðal annars að líta til 2. mgr. 28. gr. laga nr. 77/2000, en þar er mælt fyrir um að Þjóðskrá Íslands haldi skrá yfir þá sem andmæla því að nöfn þeirra séu notuð í markaðssetningarstarfsemi. Þá kemur þar fram að áður en skrá með nöfnum, heimilisföngum, netföngum, símanúmerum og þess háttar er notuð í tengslum við beina markaðssetningu skuli hún borin saman við framangreinda skrá Þjóðskrár Íslands til að koma í veg fyrir að markpóstur verði sendur eða hringt verði til einstaklinga sem hafa andmælt slíku.
Rúm túlkun á hugtakinu markaðssetning er forsenda þess að ákvæði 28. gr. nái verndarmarkmiði sínu. Því er talið að undir hugtakið markaðssetning falli öll vinnsla við beina markaðssókn, þ.e. beina sókn að skilgreindum hópi einstaklinga í þeim tilgangi að hafa áhrif á þá, skoðanir þeirra eða hegðun. Oftast er það gert til að selja þeim vöru og þjónustu en með beinni markaðssókn er einnig átt við sókn sem fram fer til að afla fylgis við tiltekna menn og málefni. Umrædd símhringing í kvartanda telst því hafa farið fram í þágu markaðssetningar í skilningi framangreinds ákvæðis.
Þar sem kvartandi hefur látið færa nafn sitt á fyrrnefnda skrá Þjóðskrár Íslands samrýmdist umrædd vinnsla Vöku á persónuupplýsingum um hann ekki 2. mgr. 28. gr. laga nr. 77/2000. Jafnframt skal tekið fram að í úrskurði þessum er ekki tekin afstaða til þess þegar félög hafa samband við eigin félagsmenn vegna starfsemi sinnar.
Ú r s k u r ð a r o r ð:
Símhringing Vöku í [A] samrýmdist ekki lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.