Ákvörðun um vinnslu banka á upplýsingum um viðskiptavini
Ákvörðun
Þann 21. janúar 2010 tók stjórn Persónuverndar ákvörðun í máli nr. 2009/281:
I.
Tildrög máls og bréfaskipti
Hinn 9. mars 2009 barst Persónuvernd tölvupóstur K. Þar sagði m.a.:
„Fyrir rúmu ári komst ég að því fyrir tilviljun að nafn mitt var "sérmerkt" með "2 stjörnum" hjá Landsbanka - þetta átti að láta þjónustufulltrúa vita að ég væri "ÓÆSKILEGUR" viðskiptavinur vegna afskrifta [...] Ég fór á stúfana og kannaði málið og fékk þetta staðfest hjá starfsmanni – ég var brennimerktur í tölvukerfinu. Mér var bent á að ræða við „Fagráð" Lí ef ég vildi fá þessu breytt, sem ég og gerði. [...] Semsagt – þeir eru með mig „brenni" merktan og neita að fella það niður nema þeir fái greiðslu."
Með bréfi dags. 28. apríl 2009 óskaði Persónuvernd nánari skýringa og í framhaldi af því barst tölvupóstur frá K, dags. 12. maí. Þar segir m.a.:
„Landsbanki Íslands nú NBI ehf. hefur brotið á mér upplýsingarétt minn, sbr. 18. grein laga nr. 77/2000. Fer ég þess á leit við Persónuvernd að hún hlutist um málið og fái skýr svör og upplýsingar frá stjórn bankans."
Hann áréttaði enn erindi sitt með bréfi dags. 15. júlí og tók fram að Persónuvernd mætti gjarnan leita eftir hvernig almennt sé unnið með slíkar upplýsingar um fólk hjá bönkum og hve lengi þeir telji sig þurfa á slíkum upplýsingum að halda.
Með bréfi, dags. 12. október 2009, kallaði Persónuvernd eftir skýringum NBI hf. Skýringar bankans bárust með bréfi dags. 2. nóvember 2009. Þar segir að ekki hafi fundist þau bréf sem K vitni til í sínum bréfum til Persónuverndar. Segir að sá starfsmaður sem K nefni starfi hvorki hjá bankanum né skilanefnd. Þá segir að upplýsingar um afskriftir skulda séu færðar í upplýsingakerfi bankans. Ennfremur segir að ákvörðun um afskrift hafi óhjákvæmilega áhrif á viðskipti hlutaðeigandi viðskiptavinar við bankann á meðan krafan er ófyrnd. Því sé skráning um afskrift nauðsynleg. Segir að aðgangur að þessum upplýsingum sé takmarkaður við þá starfsmenn bankans sem þurfa á slíkum upplýsingum að halda við störf sín. Segir að bankinn styðjist ekki við stjörnugjöf eða annars konar matskerfi eða greiningu á viðskiptavinum sínum eins og K hafi haldið fram.
Af hálfu Persónuvernd var ákveðið að fara í heimsókn til bankans til að kanna réttmæti svara bankans um að ekki væru skráðar upplýsingar um „stjörnugjöf eða annars konar matskerfi eða greiningu". Vettvangsathugun fór fram í NBI banka að Austurstræti 5 hinn 18. nóvember 2009. Af hálfu bankans voru viðstödd B, Æ, K og H. Farið var yfir upplýsingakerfi bankans og K flett upp að því marki sem þörf þótti til að kanna hvort slíkt kæmi fram. M.a. var viðskiptayfirlit hans skoðað. Kom fram að mál hans hefði farið fyrir Fagráð. Hvergi var að finna ummerki um stjörnugjöf eða athugasemdir um K s.s. um að hann væri óæskilegur viðskiptavinur. Kom fram í máli fulltrúa bankans að enginn gæti fært inn slíkan texta.
Hinn 13. janúar 2010 sendi Persónuvernd NBI hf. minnisblað sitt um þessa vettvangsathugun og gaf bankanum kost á að koma að athugasemdum við það. Þær bárust hinn 19. janúar 2010.Þær hagga ekki framangreindu.
II.
Forsendur og niðurstaða
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og handvirka vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, sbr. 1. tölul. 2. gr. laganna. Vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Ágreiningur um vinnslu slíkra upplýsinga fellur undir Persónuvernd, sbr. 37. gr. laga nr. 77/2000.
Þann 9. mars 2009 barst Persónuvernd kvörtun K yfir því að nafn hans væri „sérmerkt" með „2 stjörnum" hjá Landsbanka. Þetta væri gert til gefa þjónustufulltrúum til kynna að hann væri „óæskilegur" viðskiptavinur. Var þess óskað að Persónuvernd tæki málið til rannsóknar. Persónuvernd fékk þau svör að bankinn styðjist ekki við stjörnugjöf eða annars konar matskerfi eða greiningu á viðskiptavinum sínum, sbr. bréf NBI hf. dags. 2. nóvember 2009. Til að staðreyna svar bankans fór Persónuvernd í vettvangsheimsókn til bankans þann 18. nóvember 2009. Í þeirri heimsókn kom ekkert fram um að slík skráning sem kvartað er yfir ætti sér stað.
Með vísun til framangreinds telur Persónuvernd ekki vera forsendur til efnislegrar úrlausnar um lögmæti slíkrar vinnslu sem kvartað er yfir. Þykja ekki vera efni til frekari meðferðar máls þess og verður það því fellt niður.