Ákvörðun um vinnslu banka á upplýsingum um viðskiptavini
Ákvörðun
Þann 21. janúar 2010 tók stjórn Persónuverndar ákvörðun í máli nr. 2009/894:
I.
Tildrög máls og bréfaskipti
Hinn 17. júlí 2009 barst Persónuvernd kvörtun K undir yfirskriftinni: „Formleg kvörtun vegna Glitnisbanka, Íslandsbanka (Eldgamla, Gamla og nýja) um brot á 18. gr. laga nr. 77/2000". Í kvörtuninni segir m.a.:
„Í september 2008 komst ég að því að í gagnaskrá bankans (tölvuskrám) lágu upplýsingar um mig þess eðlis að þjónustufulltrúa bankans var bent á með „stjörnugjöf" hve „óæskilegur" viðskiptavinur ég væri, ég var sem sagt með einhverjar lituð merki (rauð eða gul) stjörnur eða krossa eða eitthvað og örugglega einhverjar skrifaðar athugasemdir, sem gáfu til kynna að bankinn hafi þurft að afskrifa einhverjar fjárhæðir mér tengdum."
Þá segir einnig í kvörtuninni:
„Ég ritaði bankastjórn bréf og bað um skýringar og fékk svarbréf [...] Þar vil ég meina að sé logið til um að „engar upplýsingar aðrar en kröfur frá þriðja aðila" [...] séu skráðar hjá bankanum. Ég fékk upplýsingar innan úr bankanum löngu eftir að bréfið var ritað og þar var skráning um mig enn óbreytt. Ég er skráður sem einhver óæskilegur viðskiptavinur vegna eldgamalla og fyrndra mála."
Með bréfi, dags. 12. október 2009, kallaði Persónuvernd eftir skýringum Íslandsbanka hf. Skýringar bankans bárust með bréfi dags. 27. október 2009. Þar segir að engar slíkar athugasemdir, sem kvartandi vísi til, sé að finna í gagnaskrám eða kerfum bankans. Þá er tekið fram að kvartandi sé hvergi skráður sem „óæskilegur viðskiptavinur" hjá bankanum og að engar upplýsingar séu skráðar um „eldgömul og fyrnd mál" kvartanda. Þá segir eftirfarandi í bréfi bankans:
„Þrátt fyrir að kvartandi leggi engin gögn fram til stuðnings fullyrðingum sínum um það sem hann kallar „stjörnugjöf", telur bankinn líklegast að þar sé viðkomandi að vísa í það kerfi sem kallast lánshæfi Íslandsbanka fjármögnunar. Þetta kerfi er tæki til að auðvelda ráðgjöfum skoðun á umsóknum (hjá Íslandsbanka fjármögnun sem er dótturfélag Íslandsbanka hf.) þegar taka á ákvörðun um lánveitingu. Eitt af því sem fellur undir lánshæfismatið er að kanna vanskilaskrá en þá könnun þarf að gera handvirkt. Af þessum sökum falla allir viðskiptavinir undir „gult ljós" sem hefur þá þýðingu að engin lánsumsókn fer sjálfkrafa í gegnum kerfið og tryggir að lánshæfismat fari fram áður en lán er veitt."
Af hálfu Persónuverndar var ákveðið að fara í heimsókn til bankans til að kanna réttmæti svara bankans um að ekki væru skráðar ofangreindar upplýsingar um kvartanda. Vettvangsathugun fór fram í Íslandsbanka hf. að Kirkjusandi 2 hinn 18. nóvember 2009. Af hálfu bankans voru viðstödd A, P og G. Farið var yfir upplýsingakerfi bankans og K flett upp að því marki sem þörf þótti til að kanna hvort slíkt kæmi fram. M.a. var viðskiptamannalisti skoðaður (Íslind). Engar afskriftir voru skráðar og öll viðskipti uppgerð samkvæmt skránni. Enga stjörnugjöf var að sjá og engar athugasemdir um að K væri óæskilegur viðskiptavinur eða þess háttar.
Hinn 13. janúar 2010 sendi Persónuvernd Íslandsbanka hf. minnisblað sitt um þessa vettvangsathugun og gaf bankanum kost á að koma að athugasemdum við það. Þær bárust hinn 15. janúar 2010. Þær hagga ekki framangreindu.
II.
Forsendur og niðurstaða
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og handvirka vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, sbr. 1. tölul. 2. gr. laganna. Vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Ágreiningur um vinnslu slíkra upplýsinga fellur undir Persónuvernd, sbr. 37. gr. laga nr. 77/2000.
Þann 17. júlí 2009 barst Persónuvernd kvörtun K yfir því að í gagnaskrám Íslandsbanka lægju upplýsingar um hann þess eðlis að þjónustufulltrúa bankans væri bent á með „stjörnugjöf" hve „óæskilegur" viðskiptavinur hann væri. Var þess óskað að Persónuvernd tæki málið til rannsóknar. Persónuvernd fékk þau svör að hjá bankanum væru engar þannig athugasemdir þess væru í gagnaskrám hans, sbr. bréf Íslandsbanka hf. dags. 27. október 2009. Til að staðreyna svar bankans fór Persónuvernd í vettvangsheimsókn til bankans þann 18. nóvember 2009. Í þeirri heimsókn kom ekkert fram um að slík skráning sem kvartað er yfir ætti sér stað.
Með vísun til framangreinds telur Persónuvernd ekki vera forsendur til efnislegrar úrlausnar um lögmæti slíkrar vinnslu sem kvartað er yfir. Þykja ekki vera efni til frekari meðferðar máls þess og verður það því fellt niður.