Úrskurður um markhópalista Lánstrausts hf. (LT)

2.9.2008

Úrskurður

Þann 18. ágúst 2008 komst stjórn Persónuverndar að svohljóðandi niðurstöðu í máli nr. 2008/359:

I.

Grundvöllur málsins

Þann 30. apríl 2008 barst Persónuvernd ábending frá A um að fyrirtækið Lánstraust hf. (jafnframt þekkt undir nafninu CreditInfo Ísland ehf., hér eftir nefnt LT) byði til sölu markhópalista, m.a. lista þar sem fjarlægðir hefðu verið einstaklingar sem væru á skrám LT. Taldi A lögmæti þessa vera „á mörkunum". Í kynningu frá LT, sem A hafði séð, sagði:

„Við getum selt ykkur markhópalista sem m.a. inniheldur upplýsingar um einstaklinga á ákveðnu tekjubili og búsettir eru í Reykjavík/Reykjanesi. Slíkur listi gæti t.d. tekið til allra einstaklinga á aldrinum 25 til 45 ára með tekjur yfir kr. 350.000. Þá gætuð þið líka fengið upplýsingar um alla einstaklinga 18 ára og eldri sem hafa meira en 350 þús. í tekjur pr. mánuð. Spurningin er bara hvernig þið viljið brjóta þetta niður. Þessu til viðbótar getum við látið fylgja með símanúmer hjá þeim sem eru ekki bannmerktir, sem og kippt þeim út sem eru inn á vanskilaskrá."

Þann 7. maí 2008 barst Persónuvernd síðan formleg kvörtun frá A. Efnislega var þar aðeins vísað til ábendingar hans, dags. 30. apríl 2008, en þann 6. ágúst sl. sendi hann nánari skýringar með tölvupósti. Þar segir :

„Í framhaldi af kvörtun minni til Persónuverndar 7. maí s.l. vil ég hér með árétta að kvörtun mín lítur að því að Lánstraust hafi, án lagaheimildar, miðlað upplýsingum um mig á listum sem fyrirtækið kallar „markhópalista" (hvítlista)  Nafn mitt er notað óháð því hvort ég sé á vanskilaskrá eða ekki.  Ef ég er ekki á vanskilaskrá er ég á listanum, ef ég er hinsvegar á  vanskilaskrá er viðkomandi upplýstur um það með því að nafn mitt hafi verið fjarlægt af listanum."

Persónuvernd óskaði eftir skýringum frá LT með bréfi, dags. 20. maí 2008. LT svaraði með bréfi, dags. 4. júní 2008. Þar kemur m.a. fram að fyrirtækið sé ekki sammála A því ekki sé mögulegt að átta sig á því hverjir séu á vanskilaskrá með gagnályktun vegna fjölda þeirra þátta sem unnið sé með við gerð markhópalista. Í bréfinu segir jafnframt:

„Heimild Creditinfo Ísland til að miðla fjárhagsupplýsingum byggir á 7. gr. og 7. tl. 8. gr. laga nr. 77/2000, sem og starfsleyfi félagsins. Þær upplýsingar sem gerðar hafa verið opinberar og eru aðgengilegar almenningi er félaginu heimilt að miðla skv. 2. mgr. 31. gr. laga nr. 77/2000 og 2. mgr. 3. gr. rgg. nr. 246/2001."

Persónuvernd taldi sig þurfa nánari skýringar og óskaði þeirra með bréfi til LT, dags. 10. júlí 2008. Þar sagði m.a.:

„Til upplýsingar vill Persónuvernd minna á að samkvæmt 4. tl. 7. gr. reglna nr. 698/2004, um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga, er söfnun og miðlun persónuupplýsinga um fjárhagsstöðu og lánstraust einstaklinga leyfisskyld. Er ekkert ákvæði í gildandi starfsleyfi sem tekur til útgáfu lista með nöfnum einstaklinga sem ekki eru á þeim skrám sem félagið vinnur á grundvelli gildandi starfsleyfis."

Bréfi Persónuverndar var svarað með bréfi, dags. 5. ágúst 2008. Þar segir m.a.:

„Félagið afhendir ekki upplýsingar um einstaklinga sem ekki eru á vanskilaskrá nema lögvarðir hagsmunir viðskiptavinar séu fyrir hendi, sbr. 7. tl. 1. mgr. 8. gr. pvl. Krafa um lögvarða hagsmuni er alla jafna fullnægt, að mati félagsins, ef bjóða á upp á lánsviðskipti ...

...

Félagið telur að áskrifandi geti ekki gagnályktað út frá þeim lista sem hann fær afhentan, þannig að þeir sem á hann vanti séu á vanskilaskrá enda eru slíkir listar alla jafna keyrðir saman við bannskrá Þjóðskrár og bannskrá símaskrár.

...

Í því tilviki er hér um ræðir, þ.e. afhendingu tiltekinna kennitölulista, þá er um það að ræða að áskrifandi óskar eftir tilteknu úrtaki úr Þjóðskrá. Þegar úrtakið úr þjóðskrá liggur fyrir, þá óskar áskrifandi þess að umræddar kennitölur úrtaksins verði keyrðar saman við vanskilaskrá og síðan afhentar sér. Þannig kaupir áskrifandinn úrtak úr Þjóðskrá, sem síðan er samkeyrt við vanskilaskrá og afhent áskrifenda að öðrum skilyrðum fullnægðum.

...

Félagið getur ekki fallist á þá staðhæfingu sem er að finna í bréfi Persónuverndar, dags. 10. júlí sl., þar sem fullyrt er að ekkert ákvæði í gildandi starfsleyfi félagsins taki til umræddrar vinnslu. Þannig hafi félagið ávallt litið svo á að vinnslan fengi stoð í e. lið 4. gr. starfsleyfisins, skýrðu eftir orðanna hljóðan. Telji Persónuvernd að inntak ákvæðisins sé annað en ætla má af orðalagi þess, er nauðsynlegt að félagið fái upplýsingar um slíkt."

Þann 7. ágúst 2008 óskaði Persónuvernd upplýsinga frá LT um það hvort nafn kvartanda hafi verið á seldum markhópalista. Þann 12. ágúst barst Persónuvernd svar frá LT um að nafn hans hafi verið á lista sem seldur var Landsbanka Íslands þann 1. október 2007. Nánar segir í bréfinu:

„Samkvæmt yfirferð félagsins hefur komið í ljós að nafn A kemur fyrir á einum lista sem afhentur var Landsbanka Íslands hf. þann 1. október 2007. Í því tilviki fékk félagið sendan kennitölulista frá bankanum með ósk um samkeyrslu við vanskilaskrá. Á umræddum kennitölulista bankans var kennitala A."

II.

Forsendur og niðurstaða

1.

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Með vísun til framangreinds telst sú aðgerð að birta nafn manns á útseldum markhópalista vera vinnsla persónuupplýsinga í skilningi laga nr. 77/2000. Fellur úrlausn máls þessa þar með undir verkefnasvið Persónuverndar.

2.

Öll vinnsla persónuupplýsinga verður að eiga sér stoð í lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Ákvæði 1. mgr. 8. gr. laganna gilda um vinnslu almennra persónuupplýsinga og hefur verið litið svo á að vinnsla upplýsinga um fjárhagsmálefni og lánstraust geti átt sér stoð í 1., 2. og/eða 7. tölul. 1. mgr. 8. gr.

Samkvæmt 33. gr. laga nr. 77/2000 getur Persónuvernd, enda þótt vinnsla uppfylli eitthvert af skilyrðum 1. mgr. 8. gr., ákveðið að hún megi ekki hefjast fyrr en hún hefur verið athuguð af stofnuninni og samþykkt með útgáfu sérstakrar heimildar. Með vísun til þessa, og að því virtu að vinnsla upplýsinga um fjárhagsmálefni og lánstraust lögaðila er háð leyfi Persónuverndar, sbr. 2. mgr. 45. gr. laganna, ákvað Persónuvernd að sama skyldi gilda um einstaklinga. Birtist þessi ákvörðun hennar í 4. tölul. 1. mgr. 7. gr. reglna nr. 698/2004 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga, sem settar voru samkvæmt heimild í 31., 32. og. 33. gr. laga nr. 77/2000, en þar segir að söfnun og miðlun persónuupplýsinga um fjárhagsstöðu og lánstraust einstaklinga sé háð leyfi frá Persónuvernd.

Lánstrausti hafa verið veitt slík leyfi. Í 2. gr. þess starfsleyfis, dags. 3. maí 2007, er gilti þegar umræddur listi var seldur Landsbankanum eru taldar upp þær upplýsingar sem LT mátti þá safna og skrá. Í 4. gr. leyfisins var síðan talið upp með hvaða hætti miðla mætti þeim upplýsingum. Sagði að þeim upplýsingum sem starfsleyfishafi mætti safna og skrá samkvæmt 2. gr. mætti hann miðla með eftirfarandi hætti:

„a. Með símaþjónustu og beinlínutengingu við áskrifendur

Starfsleyfishafi má veita áskrifendum upplýsingar símleiðis, en þó aðeins að því marki sem heimilt er samkvæmt 2. mgr. 6. gr. reglugerðar nr. 246/2001. Þá má veita eftirfarandi upplýsingar með beinlínutengingu, enda geri hún aðeins mögulegt að fletta einum einstaklingi upp í einu.

a.1. Upplýsingar frá áskrifendum/kröfuhöfum.

Af þeim upplýsingum sem starfsleyfishafi fær um vanskil frá einum áskrifanda, skv. a-lið 2. gr., má hann aðeins miðla til annarra áskrifenda upplýsingum um nafn, heimilisfang og kennitölu skuldara, hvort vanskil séu fyrir hendi þegar uppfletting fer fram og um fjárhæðir vanskila.

a.2. Upplýsingar úr almennt aðgengilegum skrám.

Af þeim upplýsingum sem starfsleyfishafi safnar úr opinberum gögnum og almennt aðgengilegum skrám, þ.e. skv. b-lið 2. gr., má hann aðeins miðla upplýsingum um nafn, heimilisfang og kennitölu skuldara, fjárhæð kröfu og hvort um sé að ræða dóm, áritun á stefnu, framkvæmt fjárnám, greiðslustöðvun, nauðungarsölu, gjaldþrotaskipti, innköllun eða skiptalok. Taka skal fram hvaðan viðkomandi upplýsingar eru fengnar.

Af þeim upplýsingum sem safnað er samkvæmt 2. gr., lið b.7., má þó ekki miðla upplýsingum um stofnendur nema félögin hafi verið úrskurðuð gjaldþrota á innan við þremur árum frá stofnun þeirra.

b. Með afhendingu skráar til Reiknistofu bankanna

Starfsleyfishafi má afhenda Reiknistofu bankanna heildarsafn þeirra upplýsinga sem hann safnar úr opinberum og almennt aðgengilegum skrám, sbr. b-lið 2. gr., með þeirri aðferð og þeim skilyrðum sem greinir í a-lið þessarar greinar. Um notkun Reiknistofu bankanna á þeirri skrá fer nú samkvæmt gildandi lögum og stjórnvaldsreglum um meðferð persónuupplýsinga, auk starfsleyfa sem Reiknistofan hefur eða kann að fá og vinnslusamningum sem ábyrgðaraðilar hafa gert eða kunna að gera við hana.

c. Með afhendingu skrár til einstakra banka og sparisjóða vegna heimabankaþjónustu

Starfsleyfishafi má semja beint við einstaka banka og sparisjóði um afhendingu heildarskrár gagngert og eingöngu til endursölu í heimabankaþjónustu. Sú skrá skal einungis bera með sér þær upplýsingar sem starfsleyfishafi safnar skv. 2. gr. Taka skal gjald fyrir hverja uppflettingu sem vera skal að lágmarki kr. 1000. Þá er skilyrði að sá sem fletti upp þurfi ávallt að gefa til kynna hvert sé tilefni/tilgangur uppflettingarinnar og að allar uppflettingar séu rekjanlegar til hans. Að öðru leyti skal fara samkvæmt þeim skilmálum sem almennt gilda um skrár starfsleyfishafa samkvæmt starfsleyfi þessu.

d. Með afhendingu lista yfir nauðungarsölur á fasteignum

Heimilt er að afhenda lista yfir nauðungarsölur á fasteignum. Þessi heimild er þó takmörkuð við framhaldssölur sem sýslumaður hefur auglýst í samræmi við 2. mgr. 26. gr. laga nr. 90/1991.

e. Með „vanskilavakt"; samkeyrsla

Starfsleyfishafi má veita þjónustu sem felst því að keyra skilgreindar kennitölur, sem hann fær frá áskrifendum, saman við þá vanskilaskrá sem hann heldur. Þetta er þó að því skilyrði að hann hafi áður tryggt að samkeyrslan sé í samræmi við 7. gr. og 7. tl. 1. mgr. 8. gr. laga nr. 77/2000."

Hvergi var í starfsleyfinu að finna heimild til að nýta umræddar upplýsingar með öðrum hætti, s.s. til að búa til markhópalista. Af hálfu LT hefur því hins vegar verið haldið fram að umrædd vinnsla eigi sér stoð í ákvæði e-liðar 4. gr. framangreinds leyfis, sbr. að í bréfi félagsins, dags. 5. ágúst 2008, segir m.a.:

„Starfsleyfishafi má veita þjónustu sem felst [í] því að keyra skilgreindar kennitölur, sem hann fær frá áskrifendum, saman við þá vanskilaskrá sem hann heldur. Þetta er þó að því skilyrði að hann hafi áður tryggt að samkeyrslan sé í samræmi við 7. gr. og 7. tl. 1. mgr. 8. gr. laga nr. 77/2000."

Af tilefni þessa skal tekið fram að ákvæði e liðar 4. gr. starfsleyfis LT er upphaflega tilkomið vegna óskar sem barst frá LT með bréfi dags. 20. febrúar 2004. Þar segir að með vanskilavakt sé átt við að fylgst sé með ákveðnum kennitölum í því skyni að kanna hvort upplýsingar um viðkomandi hafi verið færðar á skrár félagsins sem haldnar eru á grundvelli 2. gr. leyfisins.

Umrætt ákvæði kom inn af tilefni framangreindrar beiðni LT og ber að túlka í því ljósi. Í ákvæðinu er hvergi vikið að gerð markhópalista og verður ekki á það fallist að í því felist heimild fyrir LT til útgáfu slíkra lista. Þá liggur ekki fyrir að Landbankinn hafi óskað upplýsinga um hvort skilgreind kennitala kvartanda hafi færst á skrár LT og LT því verið heimilt að miðla upplýsingum þar að lútandi á grundvelli e-liðar 4. gr. starfsleyfisins. Samkvæmt atvikum máls þessa á það ákvæði því ekki við.

Úrskurðarorð

Lánstrausti hf. var óheimil miðlun upplýsinga um A á lista sem afhentur var Landsbanka Íslands hf. þann 1. október 2007.