Öflun LÍN á upplýsingum um tekjur maka

Mál nr. 2018/639

7.8.2019

Úrskurður

Hinn 25. júní 2019 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2018/639:

I.

Málsmeðferð

1.

Tildrög máls

Þann 28. mars 2018 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) vegna öflunar Lánasjóðs íslenskra námsmanna (LÍN) á upplýsingum um tekjur hans frá ríkisskattstjóra (RSK). Í kvörtuninni segir m.a. að LÍN hafi sent kvartanda tölvupóst þann 7. mars 2018, þar sem honum hafi verið tilkynnt um að upplýsingar um tekjur hans á árinu 2017 hefðu verið sóttar til RSK á grundvelli heimildar í 3. tölul. 1. mgr. 8. gr. þágildandi laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og myndu koma til skoðunar við meðferð umsóknar maka hans um undanþágu frá afborgun endurgreiðslu láns.

Í kvörtun segir nánar að upplýsingarnar hafi verið sóttar til ríkisskattstjóra, þrátt fyrir að maki kvartanda hafi þá þegar verið búin að draga umsókn sína til baka og eyða henni úr rafrænni umsóknargátt LÍN, enda hafi LÍN tjáð umsækjanda að umsókn hennar væri ófullkomin og gölluð og að hún yrði ekki tekin til meðferðar fyrr en leyst hefði verið úr ágöllunum. Kvartandi hafi ekki veitt samþykki sitt fyrir að umræddar upplýsingar yrðu sóttar. Þá segir í bréfi kvartanda að tilgangur LÍN með því að sækja fyrrgreindar tekjuupplýsingar hafi verið að nota þær gegn kvartanda og maka hans í dómsmálum sem LÍN rekur gegn þeim.

2.

Bréfaskipti við ábyrgðaraðila

Með bréfi Persónuverndar, dags. 3. maí 2018 og ítrekuðu 13. júní s.á., var LÍN boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. LÍN svaraði með bréfi, dags. 27. júní 2018. Þar er áréttað að maki kvartanda hafi þann 2. mars 2018 sótt rafrænt um undanþágu frá afborgun námsláns í samræmi við 6. mgr. 8. gr. laga um LÍN nr. 21/1992. LÍN hafi í kjölfarið og í tengslum við umsóknina óskað eftir upplýsingum um tekjur kvartanda og maka hans frá RSK í samræmi við verklag sjóðsins. Sama dag hafi LÍN sent kvartanda tilkynningu um upplýsingaöflunina. Þá kemur fram í bréfi LÍN að stofnunin hafi ekki orðið þess vör að umsækjandi hafi dregið umsókn sína um undanþágu frá afborgun til baka og engin skilaboð hafi borist frá umsækjanda þess efnis fyrr en eftir 7. mars 2018. Í bréfi LÍN kemur einnig fram að sjóðurinn telji að um misskilning sé að ræða í munnlegum samskiptum maka kvartanda við LÍN, þar sem rétt sé að umsóknir séu ekki fullafgreiddar fyrr en öll nauðsynleg gögn hafi borist en gagnaöflun LÍN hefjist þó um leið og umsókn hafi verið lögð fram. Þá segir að í ljósi þess að umsókn maka kvartanda hafi ekki verið dregin formlega til baka fallist LÍN ekki á að stofnuninni hafi verið óheimilt að sækja umræddar upplýsingar frá RSK en þær hafi verið nauðsynlegar til afgreiðslu umsóknarinnar.

Um heimild til vinnslu bendir LÍN á að í umsóknarferli um undanþágu frá afborgun námsláns er umsækjandi upplýstur um að umræddar upplýsingar verði sóttar og að LÍN hefji gagnaöflun frá RSK um leið og umsókn um undanþágu hafi borist. Að lokum segir í bréfi LÍN að jafnvel þótt umsækjandi um undanþágu hefði dregið umsókn sína um undanþágu formlega til baka, hefðu upplýsingar að öllum líkindum þá þegar verið sóttar. Af framangreindu telur LÍN ljóst að stofnunin hafi farið að lögum og reglum er varða persónuvernd í málinu.

3.

Bréfaskipti við kvartanda

Með bréfi Persónuverndar, dags. 29. júní 2018 og ítrekuðu 23. ágúst s.á., var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar LÍN til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Í svarbréfi kvartanda, dags. 6. september 2018, segir að kvartandi telji að gengið hafi verið á grundvallarréttindi hans þegar LÍN sótti upplýsingar um tekjur hans í áðurgreindum tilgangi eftir að maki hans hefði dregið umsókn sína til baka, að morgni 7. mars 2018, með því að eyða umsókninni rafrænt úr gáttinni. Kvartandi ítrekar málavöxtu er lýst er í upphaflegri kvörtun hans og áréttar að umsókn maka hans hafi ekki verið tilbúin til vinnslu samkvæmt upplýsingum LÍN, að umsókninni hafi þegar verið eytt að morgni þess dags sem tilkynningin um öflun upplýsinga um tekjur kvartanda var honum send og að kvartandi hafi ekki nokkurn tíma samþykkt að LÍN skoðaði fjármál hans í tengslum við viðskipti maka hans við sjóðinn.

Kvartandi áréttar að ekki hafi verið um misskilning að ræða í máli þessu og að LÍN hafi gefið skýr svör þess efnis að ekkert yrði gert í umsókn maka kvartanda fyrr en öll gögn hefðu borist. Kvartandi telur skýringar LÍN ótrúverðugar í ljósi þess að umsókn maka kvartanda hafi borist 2. mars 2018 og að LÍN hafi ekkert aðhafst fyrr en daginn sem umsókninni var eytt úr hinni rafrænu gátt þann 7. s.m. Telur kvartandi að upplýsingaöflun LÍN standi í samhengi við dómsmál, alls óskylt umsókn maka kvartanda um undanþágu frá afborgun námsláns, sem sjóðurinn hafi höfðað gegn kvartanda til að rjúfa fyrningarfrest kröfu á hendur honum, en sönnunarbyrði hvíli á sjóðnum um að sýna fram á sérstaka hagsmuni af því að viðhalda kröfu sinni. Hafi hann því valið að fara fyrrgreinda leið til að afla fjárhagsupplýsinga um kvartanda.

4.

Frekari skýringar ábyrgðaraðila

Persónuvernd sendi LÍN bréf, dags. 1. mars 2019, þar sem stofnunin óskaði frekari upplýsinga um hvernig verklagi væri háttað hjá LÍN þegar umsækjandi sækir um undanþágu frá endurgreiðslu námslána, m.a. hvort beiðni um tekjur umsækjanda færi sjálfkrafa til RSK eða hvort LÍN framkvæmdi sjálfstætt mat á því hvort þörf væri á slíkum upplýsingum. Einnig var óskað upplýsinga um verklag sem viðhaft er þegar fyrir liggur að umsækjandi sjálfur uppfyllir ekki tekjuviðmið einstaklings og upplýsingar eru sóttar frá RSK um tekjur maka. Að lokum óskaði Persónuvernd eftir upplýsingum um verklag sjóðsins þegar umsókn er afturkölluð, hvort sem er skriflega eða rafrænt, ásamt afriti af tímastimpli þess þegar maki kvartanda eyddi umsókn sinni úr rafrænni gátt LÍN.

Í svarbréfi LÍN, dags. 18. mars 2019, kemur m.a. fram að umsækjendur um undanþágu þurfi að uppfylla tvö skilyrði til að fá undanþágu, þ.e. tekjuviðmið og ástæðu fyrir fjárhagsörðugleikum. Samkvæmt gr. 8.5.1 í úthlutunarreglum LÍN sé almennt ekki veitt undanþága ef árstekjur lánþega séu yfir 4.070.000 kr. og ef lánþegi sé í sambúð eða hjónabandi sé viðmið árstekna samanlagt 8.140.000 kr. vegna ársins á undan. Þá kemur fram, með vísan til gr. 8.5.3. í úthlutunarreglum sjóðsins, að þegar sótt sé um undanþágu skuli það gert í gegnum vefsvæðið „Mitt LÍN“ og þar sendar með upplýsingar sem óskað sé eftir. Fram kemur í svarbréfi LÍN að umsækjandi hafi sótt um undanþágu frá afborgun 2. mars 2018 inni á „Mitt LÍN“. Umsóknin hafi verið færð inn í starfsmannakerfi sjóðsins degi síðar eða 3. s.m. Í kjölfarið hafi könnun farið fram í starfsmannakerfi sjóðsins með fyrirspurn um hvaða umsækjendur um undanþágu ættu maka og beiðni send RSK um upplýsingar um tekjur þeirra. Upplýsingar um tekjur kvartanda hafi verið sóttar til RSK 5. mars 2018. Kvartanda hafi síðan verið sendur tölvupóstur þess efnis frá sjóðnum þann 7. mars 2018.

Fram kemur í svarbréfi LÍN að sjóðurinn skoði ekki endilega fyrst ástæður fyrir undanþágu og svo tekjur umsækjanda eða meti sérstaklega hvaða gögn eigi að koma fyrst inn enda sé ekki gerð krafa um að uppfylla annað skilyrðið fyrst í ákvæðum laganna. Einnig kemur fram að LÍN telji að slíkt fyrirkomulag myndi tefja umsóknarferli greiðenda. Gagnaöflun LÍN hefjist því um leið og umsókn hafi verið lögð fram. Bæði skilyrðin þurfi að vera uppfyllt en um leið og annað skilyrðið sé ekki uppfyllt sé umsækjanda leiðbeint um að senda frekari gögn.

Fram kemur í bréfi LÍN að ljóst hafi verið að tekjur umsækjanda hafi verið yfir viðmiði sjóðsins og þann 26. mars 2018 hafi umsækjanda verið sendur tölvupóstur og leiðbeint um að hún gæti skilað inn frekari gögnum sem staðfestu verulega fjárhagsörðugleika. Í framhaldi af því hafi umsækjandi verið í samskiptum við sjóðinn þar sem hún hafi ekki talið sig hafa sótt um undanþágu frá afborgun, aðeins undirbúið umsóknina og svo dregið hana til baka. Af upplýsingum í kerfum LÍN sé ljóst að umsækjandi hafi sótt um undanþágu þann 2. mars 2018 og hafi staðfesting á móttöku umsóknar verið send lánþega þann 5. mars s.á. Þá hafi sjóðnum borist upplýsingar um nám umsækjanda degi síðar og hafi umsóknin samkvæmt þessu ekki verið afturkölluð. Einnig kemur fram að ekki sé hægt að afturkalla umsókn rafrænt inni á „Mitt LÍN“ en greiðendur geti haft samband við sjóðinn og dregið umsókn sína til baka og sé það gert handvirkt af starfsmanni sjóðsins. Þá sé staða máls merkt „dregin til baka“ og öll vinnsla upplýsinga sé þá stöðvuð um leið.

Persónuvernd hafði samband við LÍN 27. mars 2019 símleiðis og óskaði nánari skýringa á verklagi varðandi gr. 8.5.1 í úthlutunarreglum LÍN, þess efnis eins og fyrr segir að almennt sé ekki veitt undanþága ef árstekjur lánþega séu yfir 4.070.000 kr. og árstekjur hjóna/sambúðarfólks séu yfir 8.140.000 kr. vegna ársins á undan. Starfsmaður LÍN upplýsti að lánþegi nyti góðs af því ef tekjur hans væru yfir viðmiðunarmörkum einstaklings en heildartekjur hans og maka hans færu ekki yfir 8.140.000 kr., því að þá uppfyllti lánþegi skilyrðið um heildartekjur undir viðmiðunarhámarki og þar með annað tveggja skilyrðanna um undanþágu frá endurgreiðslu námslána. Af þeim sökum væri stuðst við það verklag hjá sjóðnum að senda fyrirspurn til RSK um tekjur lánþega og maka hans, þegar við ætti, þar sem ekki væri hægt að taka afstöðu til skilyrðis um tekjuviðmið fyrr en fyrir lægju upplýsingar um tekjur beggja eða um að lánþegi væri einn og sér með árstekjur hærri en heildarviðmið hjóna og sambúðarfólks eða 8.140.000 vegna ársins á undan.

II.

Forsendur og niðurstaða

1.

Lagaskil og afmörkun máls

Mál þetta lýtur að atvikum sem gerðust fyrir gildistöku núgildandi laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga þann 15. júlí 2018. Er því hér byggt á ákvæðum eldri laga, nr. 77/2000, en ekki er um efnislegar breytingar að ræða í lögum nr. 90/2018 á þeim reglum laganna sem hér reynir á.

2.

Gildissvið – Ábyrgðaraðili

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst LÍN vera ábyrgðaraðili að umræddri vinnslu.

3.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Þegar um ræðir vinnslu persónuupplýsinga á vegum stjórnvalda getur reynt á 3. tölul. 1. mgr. ákvæðisins, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Í því sambandi er til þess að líta að samkvæmt 6. mgr. 8. gr. laga nr. 21/1992 um Lánasjóð íslenskra námsmanna er stjórn sjóðsins heimilt að veita undanþágu frá árlegri endurgreiðslu samkvæmt 1. mgr. sömu greinar, að hluta eða öllu leyti, ef skyndilegar og verulegar breytingar verða á högum skuldara, t.d. ef hann veikist alvarlega eða verður fyrir slysi er skerðir til muna ráðstöfunarfé hans og möguleika til að afla tekna. Stjórn sjóðsins er enn fremur heimilt að veita undanþágu frá ársgreiðslu samkvæmt 1. mgr. ef nám, atvinnuleysi, veikindi, þungun, umönnun barna eða aðrar sambærilegar ástæður valda verulegum fjárhagsörðugleikum hjá lánþega eða fjölskyldu hans. Í 7. mgr. 8. gr. sömu laga segir m.a. að skuldari, sem sækir um undanþágu samkvæmt 6. mgr., skuli leggja sjóðstjórn til þær upplýsingar er stjórnin telur skipta máli.

Að auki þarf við vinnslu persónuupplýsinga að vera fullnægt öllum grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000. Í því felst meðal annars að vinnsla skuli vera sanngjörn, málefnaleg og lögmæt og samrýmast vönduðum vinnsluháttum (1. tölul. 1. mgr. 7. gr.); að upplýsingar skuli fengnar í yfirlýstum, skýrum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul. sömu málsgreinar); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslu (3. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við sama tilgang (5. tölul.).

Samkvæmt 2. gr. hjúskaparlaga nr. 31/1993 bera hjón gagnkvæma framfærsluskyldu. Þá er til þess að líta að samkvæmt 4. mgr. 14. gr. laga nr. 21/1992 er ríkisskattstjóra skylt að láta lánasjóðnum í té upplýsingar sem nauðsynlegar eru við framkvæmd laganna. Með hliðsjón af framansögðu, og í samræmi við úrskurð stjórnar Persónuverndar þann 30. maí 2016 í máli nr. 2015/1619, verður talið að LÍN sé heimilt, með vísan til 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000, að afla upplýsinga um tekjur maka lántaka frá RSK vegna umsóknar lántaka um undanþágu afborgunar námsláns. Þá liggur ekki fyrir í máli þessu að hjá LÍN hafi legið fyrir gögn um að maki kvartanda hafi afturkallað umsókn sína þegar slíkra upplýsinga um hana var aflað hinn 5. mars 2018, en af því leiðir að sú upplýsingaöflun féll undir umrædda heimild samkvæmt 8. gr. laga nr. 77/2000.

Í gögnum málsins kemur fram að kvartandi telur tilgang LÍN með umræddri upplýsingaöflun vera að nýta upplýsingarnar í dómsmáli sem sjóðurinn rekur gegn kvartanda og maka hans. Ekkert er fram komið í máli þessu sem rennir stoðum þar undir, en engu að síður skal minnt á 2. tölul. 1. mgr. 7. gr. laga nr. 77/2000, þar sem m.a. segir að þess skuli gætt við meðferð persónuupplýsinga að þær séu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi.

4.

Fræðsla

Í 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000 segir að við meðferð persónuupplýsinga skuli gætt að því að þær séu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga, en í kröfunni um sanngirni felst m.a. að vinnslan á að vera sem gagnsæjust gagnvart hinum skráða. Þá kemur fram í 1. mgr. 21. gr. laganna að þegar ábyrgðaraðili aflar persónuupplýsinga um hinn skráða frá öðrum en honum sjálfum skal hann samtímis láta hinn skráða vita af því og greina honum frá tilteknum atriðum, sbr. upptalningu í 3. mgr. ákvæði sins. Þetta á hins vegar ekki við ef ætla má að hinum skráða sé þegar kunnugt um vinnslu persónuupplýsinga um sig, sbr. 2. tölul. 4. mgr. 21. gr. laganna, sem og ef lagaheimild stendur til skráningar eða miðlunar upplýsinganna, sbr. 3. tölul. sömu málsgreinar. Skal tekið fram í tengslum við síðarnefndu undantekninguna að þó svo að nauðsynlegt geti verið að afla tiltekinna upplýsinga til að fullnægja lagaskyldu, sbr. fyrrnefnt ákvæði 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000, verður ekki talið að þar með sé til staðar eiginleg lagaheimild. Telur Persónuvernd nánar tiltekið að til að svo verði talið vera þurfi að minnsta kosti að vera ljóst af lagatexta að upplýsinga um þann tiltekna hóp skráðra einstaklinga sem um ræðir kunni að verða aflað. Eins og fyrr greinir gerir 4. mgr. 14. gr. laga nr. 21/1992 ráð fyrir að LÍN afli nauðsynlegra upplýsinga frá RSK vegna umsókna um undanþágur frá greiðslu námslána en án þess þó að tilgreina sérstaklega maka umsækjenda. Telur Persónuvernd umrædda undantekningu frá fræðsluskyldu samkvæmt 21. gr. laga nr. 77/2000 því ekki eiga við hvað upplýsingar um kvartanda varðar. Hins vegar liggur fyrir að maki hans var fræddur um að tekjur maka yrðu sóttar til RSK. Telur Persónuvernd samkvæmt því að við eigi sú undantekning frá umræddri fræðsluskyldu að ætla megi að hinum skráða sé þegar kunnugt um vinnslu. Þá telur Persónuvernd jafnframt, þegar litið er til þessarar fræðslu, auk þeirrar tilkynningar um upplýsingaöflun hjá RSK sem send var kvartanda skömmu eftir að hún fór fram, að vinnsla upplýsinga um hann hafi fullnægt þeim kröfum um gagnsæi sem gera verður á grundvelli 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000.

5.

Niðurstaða

Að framangreindu virtu er niðurstaða Persónuverndar sú að vinnsla LÍN á persónuupplýsingum [A] hafi samrýmst lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Mál þetta hefur tafist vegna mikilla anna hjá Persónuvernd.

Ú r s k u r ð a r o r ð:

Öflun LÍN á persónuupplýsingum [A] frá ríkisskattstjóra hinn 5. mars 2018 samrýmdist lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

                                                     Í Persónuvernd, 25. júní 2019

                                  Helga Þórisdóttir                             Þórður Sveinsson