Sölusímtal á vegum tryggingafyrirtækis
Úrskurður
Á fundi stjórnar Persónuverndar hinn 4. október 2016 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/740:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Þann 22. apríl 2016 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi). Í kvörtuninni segir m.a. að þann [dags.] 2016 hafi hann fengið sölusímtal frá Tryggingamiðstöðinni hf. þar sem honum var boðið að kaupa aukna vátryggingarvernd fyrir fasteign sína. Kvartandi tók einnig fram að hann væri bæði bannmerktur í símaskrá og hjá Þjóðskrá og því væru símtöl til sín af þessu tagi ekki leyfileg.
2.
Bréfaskipti
Með bréfi, dags. 8. júlí 2016, var Tryggingamiðstöðinni hf. veitt færi á að tjá sig um hina framkomnu kvörtun til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Í bréfinu var sérstaklega óskað eftir upplýsingum um það hvort Tryggingamiðstöðin hf. hefði gætt að ákvæði 1. mgr. 28. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga þegar hringt var í kvartanda. Einnig var óskað upplýsinga um það hvaðan upplýsingar um kvartanda og símanúmer hans væru fengnar.
Svarbréf Tryggingamiðstöðvarinnar barst Persónuvernd þann 15. ágúst 2016 eftir að veittur hafði verið svarfrestur þann 20. júlí 2016 vegna sumarfría starfsmanna félagsins. Í bréfinu segir m.a. að á vátryggingafélögum hvíli rík upplýsingaskylda gagnvart viðskiptavinum sínum. Leiði sú skylda m.a. af ákvæðum laga um vátryggingarsamninga nr. 30/2004. Í ljósi reynslu Tryggingamiðstöðvarinnnar sé þekkt að vátryggingartakar átti sig ekki alltaf á hinu takmarkaða gildissviði brunatryggingarinnar sem geti haft í för með sér að tjón fáist ekki bætt vegna ófullnægjandi vátryggingarverndar sem stafar af misskilningi um þá vernd sem brunatryggingin veiti. Með tilliti til þessa og með vísan til framangreindra lagaákvæða hafi félagið litið svo á að því sé rétt að hafa samband við viðskiptavini sína, þ. á m. með símtali, þegar svo háttar til að þeir hafi einvörðungu brunatryggingu í gildi hjá félaginu en ekki aðrar vátryggingar sem tengst geta viðkomandi húseign, svo sem fasteignatryggingu. Við þessar aðstæður hafi verið litið svo á að ekki þurfi að gæta að því sérstaklega hvort viðkomandi viðskiptavinur sem haft sé samband við sé bannmerktur hjá Þjóðskrá, sbr. 1. mgr. 28. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.
Einnig segir í bréfinu að í tilviki kvartanda hafi þessi staða verið uppi. Kvartandi hafi um nokkurra ára skeið haft í gildi hjá félaginu lögmælta brunatryggingu vegna tiltekinnar húseignar og hafi það verið eina vátryggingin sem hann hafði hjá félaginu þegar haft var símasamband við hann [dags.] sl. og athugað hvort hann hefði þörf fyrir frekari vátryggingarvernd. Kvartandi hafi ekki talið sig þurfa frekari vernd og við svo búið hafi símtalinu lokið. Tekið er fram í lok bréfs Tryggingamiðstöðvarinnar að upplýsingar um kvartanda hafi verið fengnar úr viðskiptamannakerfi félagsins og upplýsingar um símanúmer hans fengnar rafrænt úr símaskrá já.is.
Svarbréf Tryggingamiðstöðvarinnar var borið undir kvartanda með bréfi, dags. 16. ágúst 2016, og honum gefinn kostur á að koma að athugasemdum. Svarbréf kvartanda, dags. 25. ágúst 2016, barst Persónuvernd þann 2. september s.á. Þar segir m.a. að upplýsingaskylda vátryggingafélags við töku tryggingar, skv. lögum um vátryggingarsamninga nr. 30/2004, hafi ekkert að gera með samskipti vátryggingafélags og vátryggingartaka eftir að tryggingin öðlast gildi. Einnig segir að greinarmunur sé á því að upplýsa kaupanda að vátryggingu um hvað þeirri tryggingu sé ætlað að tryggja og svo því að nota lögin um vátryggingar til að réttlæta auglýsingar um alls óskyld efni með tilvísan til upplýsingaskyldu vegna tryggingar sem þegar sé í gildi. Ætla megi að það sé á ábyrgð vátryggingartaka að kynna sér gildissvið þeirrar tryggingar sem hann kaupir, með aðstoð og upplýsingagjöf starfsmanna vátryggingafélagsins, en það hvort vátryggingartaki hafi áhuga á annars konar tryggingum sé allt annar handleggur. Jafnframt bendir kvartandi á að skv. upplýsingum á heimasíðu Tryggingamiðstöðvarinnar er engin þörf á viðbótartryggingum þegar húsfélag er með sameiginlega fasteigna- eða húseigendatryggingu fyrir alla eignina eins og sé raunin í hans tilviki. Einnig segir að hefði sölumaður Tryggingamiðstöðvarinnar flett upp eigninni í sínu eigin viðskiptamannakerfi hefði hann komist að að raun um að fasteignin var skráð hjá Tryggingamiðstöðinni og því hefði mátt afgreiða erindið með öðrum hætti en símtali til kvartanda eða annarra íbúa hússins.
Að lokum mótmælir kvartandi þeirri staðhæfingu Tryggingamiðstöðvarinnar að sölusímtalinu þann [dags.] 2016 hafi lokið með því að hann hafi ekki sagst þurfa frekari vátryggingarvernd í formi fasteigna- eða húseigendatrygginga. Segir að svo sé ekki heldur hafi sölumaðurinn þá farið að reyna selja kvartanda aðrar tryggingar, s.s. sjúkratryggingu eða fartölvutryggingu.
II.
Forsendur og niðurstaða
1.
Gildissvið – Ábyrgðaraðili að vinnslu
Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og þar með valdsvið Persónuverndar, nær til vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. og 1. og 2. mgr. 37. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Af athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af framangreindu er ljóst að í uppflettingu Tryggingamiðstöðvarinnar hf. í eigin viðskiptamannaskrám, leit hennar í rafrænu símaskránni já.is að símanúmerum viðskiptamanna sinna, sem og því að hringja í viðkomandi einstaklinga, felst vinnsla persónuupplýsinga í skilningi laga nr. 77/2000 sem þarf að samrýmast ákvæðum þeirra. Samkvæmt framansögðu fellur úrlausn ágreiningsmáls þessa undir úrskurðarvald Persónuverndar, sbr. 2. mgr. 37. gr. laga nr. 77/2000.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Tryggingamiðstöðin vera ábyrgðaraðili að umræddri vinnslu.
2.
Lagaumhverfi
Öll vinnsla persónuupplýsinga verður að hafa heimild í 1. mgr. 8. gr. laga nr. 77/2000. Helst kemur til álita að fella ofangreinda vinnslu undir 7. tölul. 1. mgr. þeirrar greinar. Það ákvæði mælir fyrir um að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Vinnsla í þágu markaðssetningar hefur verið talin geta þjónað lögmætum hagsmunum og því geta samrýmst þessu ákvæði, enda hafi verið gætt hagsmuna þeirra sem hlut eiga að máli. Til þess þarf hins vegar að virða ákvæði um andmælarétt hins skráða.
Um vinnslu persónuupplýsinga í markaðssetningarstarfsemi gildir sérákvæði 28. gr. laga nr. 77/2000, með áorðnum breytingum. Ákvæðið gerir ráð fyrir sérstökum og ríkum andmælarétti hins skráða að því er varðar notkun persónuupplýsinga um hann í tengslum við markaðssetningarstarfsemi. Er þessi réttur ekki takmarkaður við að hinn skráði tilgreini sérstakar ástæður fyrir andmælum sínum. Þá er rúm túlkun á hugtakinu markaðssetning forsenda þess að ákvæði 28. gr. nái verndarmarkmiði sínu. Persónuvernd hefur því talið að undir það falli ekki aðeins kynning á vöru eða þjónustu sem í boði er gegn gjaldi heldur einnig annað áróðurs-, auglýsinga- og kynningarstarf þar sem reynir á sömu sjónarmið. Nánar tiltekið er litið svo á að undir hugtakið falli öll vinnsla við beina markaðssókn, þ.e. beina sókn að skilgreindum hópi einstaklinga í þeim tilgangi að hafa áhrif á þá, skoðanir þeirra eða hegðun. Tekur hugtakið þannig skýrlega til símhringingar Tryggingamiðstöðvarinnar hf. í kvartanda í þeim tilgangi að bjóða honum aukna vátryggingarvernd.
Eins og fram kemur í skýringum við ákvæði 28. gr. í athugasemdum, sem fylgdu frumvarpi því er varð að lögum nr. 77/2000, ber að túlka það með hliðsjón af b-lið 14. gr. tilskipunar nr. 95/46/EB. Þar er mælt fyrir um rétt hins skráða til að andmæla vinnslu persónuupplýsinga um sig sem ábyrgðaraðili fyrirhugar vegna beinnar markaðssetningar, sem og til að vera skýrt frá því og veittur kostur á andmælum áður en persónuupplýsingar eru fyrst fengnar þriðju aðilum, eða notaðar fyrir þeirra hönd, í því skyni.
Ákvæði 28. gr. laga nr. 77/2000 gerir ráð fyrir að Þjóðskrá haldi skrá yfir þá sem andmæla því að nöfn þeirra séu notuð í markaðssetningarstarfsemi. Nánar tiltekið segir í 1. mgr. ákvæðisins að þeir sem nota slíkar skrár, s.s. eigin viðskiptamannaskrár, í tengslum við markaðssetningarstarfsemi, skuli bera þær saman við bannskrá Þjóðskrá áður en þær eru notaðar í slíkum tilgangi, til að koma í veg fyrir að markpóstur verði sendur eða hringt verði til einstaklinga sem hafa andmælt slíku.
Þá er einnig fjallað um bannskrá Þjóðskrár og andmæli einstaklinga við markaðssetningarstarfsemi í reglum nr. 36/2005 sem settar voru af dómsmálaráðherra þann 5. janúar 2005. Í 4. gr. reglnanna segir að þeim sem stunda markaðssetningarstarfsemi sé skylt að beita bannskrá Þjóðskrár við starfsemi sína, s.s. við útsendingu dreifibréfa, happdrættismiða, gíróseðla, auglýsinga og kynningarefnis, símhringingar, útsendingu tölvupósts eða beitingu hliðstæðra aðferða, sem varða kaup eða leigu á vöru eða þjónustu eða þátttöku í tiltekinni starfsemi, hvort sem hún er viðskiptalegs eðlis eða varðar tómstundir, afþreyingu, námskeið eða sambærilegt atferli, sbr. 2. mgr. 2. gr. reglnanna.
Að auki má líta til 5. mgr. 46. gr. laga um fjarskipti nr. 81/2003, jafnvel þótt eftirlit með þeim lögum heyri undir Póst- og fjarskiptastofnun, enda var kvartandi einnig x-merktur í símaskrá Já ehf.
Tekið skal fram að ekki er útilokað að fyrirtæki geti haft samband við bannskráða einstaklinga, sem þegar eru í samningsbundnum viðskiptum við þau, til að upplýsa þá um atriði sem varða samningssambandið, sbr. einkum 2. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Gæti það meðal annars átt við upplýsingagjöf um þjónustu sem viðkomandi hafa þegar keypt. Eins og hér háttar til var hins vegar um að ræða tilboð um nýja þjónustu, þ.e. nýja tegund vátryggingar, sem var umfram þá sem kvartandi hafði þegar ákveðið að nýta sér.
3.
Niðurstaða
Af framangreindum ákvæðum 28. gr. laga nr. 77/2000 og reglum nr. 36/2005 leiðir, að áður en viðskiptamannaskrá fyrirtækja er notuð í markaðssetningarstarfsemi þarf hinum skráðu að hafa verið gefinn kostur á að andmæla því, hverjum fyrir sitt leyti, að upplýsingar um þá birtist í skránni. Fyrir liggur að kvartandi hefur komið andmælum sínum á framfæri við Þjóðskrá með því að skrá sig á bannskrá Þjóðskrár.
Að virtu framangreindu, og ákvæði 1. gr. laga nr. 77/2000, um að markmið laganna sé að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs, og skýringum við ákvæði 28. gr. í athugasemdum sem fylgdu frumvarpi því er varð að lögum nr. 77/2000, er það mat Persónuverndar að Tryggingamiðstöðinni hf. hafi, áður en hringt var í kvartanda, borið að bera nafn hans saman við bannskrá Þjóðskrár.
Af ofangreindu er ljóst að vinnsla persónuupplýsinga um kvartanda hjá Tryggingamiðstöðinni hf. var ekki í samræmi við ákvæði 1. mgr. 28. gr. laga nr. 77/2000, enda var kvartandi skráður í bannskrá Þjóðskrár. Skal Tryggingamiðstöðin hf. gera ráðstafanir til að tryggja að farið sé að framangreindu ákvæði. Lýsing á þeim ráðstöfunum skal berast Persónuvernd eigi síðar en 15. nóvember 2016.
Ú r s k u r ð a r o r ð:
Símhringing Tryggingamiðstöðvarinnar hf. í kvartanda með tilboði um aukna vátryggingarvernd fór í bága við ákvæði 1. mgr. 28. gr. laga nr. 77/2000, þar sem kvartandi var skráður í bannskrá Þjóðskrár. Eigi síðar en 15. nóvember 2016 skal Tryggingamiðstöðin hf. senda Persónuvernd lýsingu á ráðstöfunum sem tryggja að farið sé að framangreindu ákvæði.