Sending Símans hf. á tölvupósti vegna markaðssetningar til viðskiptavinar sem skráður var á bannskrá

Mál nr. 2018/1640

3.1.2020

Úrskurður

Hinn 20. desember 2019 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2018/1640:

I.

Málsmeðferð

1.

Kvörtun og málsmeðferð

Hinn 7. nóvember 2018 barst Persónuvernd framsend kvörtun frá Póst- og fjarskiptastofnun, dags. 17. september 2018, frá [A] (hér eftir nefndur kvartandi) yfir því að Síminn hf. hefði ekki virt merkingu kvartanda í bannskrá Þjóðskrár Íslands við markaðssetningu með tölvupósti.

Með bréfi, dags. 14. janúar 2019, var Símanum hf. tilkynnt um framangreinda kvörtun og veittur kostur á að tjá sig um hana. Svarað var af hálfu fyrirtækisins með bréfi, dags. 30. janúar s.á. Með bréfi, dags. 16. apríl s.á., var kvartanda boðið að tjá sig um svarbréf Símans hf. Kvartandi svaraði með tölvupósti, dags. 5. maí s.á.

Við úrlausn málsins hefur verið tekið tilliti til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

2.

Sjónarmið kvartanda

Kvartandi byggir á því að Síminn hf. hafi þann 17. september 2018 sent honum tölvupóst með kynningu á sjónvarpsefni sem í boði er á miðlum félagsins og boð um að prófa tiltekna þjónustu á vegum þess, þrátt fyrir að hafa verið skráður á bannskrá Þjóðskrár Íslands.

3.

Sjónarmið Símans hf.

Síminn hf. byggir á því að sending umrædds tölvupósts hafi verið mistök þar sem kvartandi hafi komið á framfæri andmælum við félagið sjálft og því hafi hann ekki átt að vera í hópi þeirra viðskiptavina sem senda átti tölvupóst á.

Félagið telji sig þó hafa heimild samkvæmt 46. gr. laga nr. 81/2003 um fjarskipti til að senda viðskiptamönnum sínum tölvupóst vegna beinnar markaðssetningar á eigin vörum eða þjónustu enda sé viðkomandi einstaklingi gefinn kostur á að andmæla slíkri notkun í upphafi og í hverjum tölvupósti. Líta verði á lög nr. 81/2003 sem sérlög gagnvart lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, og því gangi hin fyrrgreindu lög framar þeim síðargreindu. Í því sambandi sé bent á að samkvæmt 173. lið formálsorða reglugerðar (ESB) 2016/679, sem innleidd var í íslenskan rétt með lögum nr. 90/2018, gildi hún ekki um vinnslu persónuupplýsinga sem falli undir tilskipun 2002/58/EB, sem innleidd var með lögum nr. 81/2003. Fjallað sé um notkun tölvupósts í markaðslegum tilgangi í umræddri tilskipun og því gildi reglugerð (ESB) 2016/679, og þar með lög nr. 90/2018, ekki um þá háttsemi sem kvörtunin lýtur að.

II.

Forsendur og niðurstaða

1.

Gildissvið - Ábyrgðaraðili

Gildissvið laga nr. 90/2018 og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Mál þetta lýtur að því hvort Síminn hf. hafi farið lögum nr. 90/2018 við sendingu markaðssetningarefnis til kvartanda með tölvupósti en fyrir liggur að kvartandi hafði andmælt því að nafn hans yrði notað í markaðssetningarstarfsemi og látið skrá andmæli sín hjá Þjóðskrá Íslands. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst Síminn hf. vera ábyrgðaraðili að umræddri vinnslu.

2.

Lagaumhverfi og niðurstaða

Öll vinnsla persónuupplýsinga verður að byggja á heimild samkvæmt 9. gr. laga nr. 90/2018. Helst kemur til álita að fella þá vinnslu sem mál þetta lýtur að undir 6. tölul. 1. mgr. þeirrar greinar, en ákvæðið er samhljóða f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, sem mælir fyrir um að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra. Vinnsla í þágu markaðssetningar hefur verið talin geta þjónað lögmætum hagsmunum og því geta samrýmst þessu ákvæði, enda hafi verið gætt hagsmuna þeirra sem hlut eiga að máli. Til þess þarf meðal annars að virða ákvæði um andmælarétt hins skráða.

Um andmælarétt skráðra einstaklinga gildir 21. gr. laga nr. 90/2018. Samkvæmt 1. mgr. þeirrar greinar er skráðum einstaklingum meðal annars heimilt að andmæla vinnslu persónuupplýsinga um sig sem byggist á f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679 og skal ábyrgðaraðili þá ekki vinna persónuupplýsingarnar frekar nema hann geti sýnt fram á mikilvægar lögmætar ástæður fyrir vinnslunni sem ganga framar hagsmunum, réttindum og frelsi hins skráða. Samkvæmt 2. mgr. 21. gr. laganna heldur Þjóðskrá Íslands skrá yfir þá sem andmæla því að nöfn þeirra séu notuð í markaðssetningarstarfsemi. Ábyrgðaraðilum sem starfa í beinni markaðssókn og þeim sem nota skrá með nöfnum, heimilisföngum, netföngum, símanúmerum og þess háttar ber áður en slík skrá er notuð í slíkum tilgangi að bera hana saman við skrá Þjóðskrá Íslands til að koma í veg fyrir að markpóstur verði sendur til einstaklinga sem andmælt hafa slíku.

Í athugasemdum við ákvæði 21. gr. í frumvarpi því sem varð að lögum nr. 90/2018 segir að með markpósti sé átt meðal annars átt við tölvupóst sem notaður sé í beinni markaðssókn. Með beinni markaðssókn er átt við beina sókn að einstaklingnum í því skyni að selja honum vöru eða þjónustu. Ljóst er samkvæmt þessu að tölvupóstur Símans hf. til kvartanda, dags. 17. september 2018, sem innihélt kynningarefni um þjónustu og sjónvarpsefni félagsins, telst markpóstur í skilningi ákvæðisins.

Af hálfu Símans hf. hefur verið byggt á því að samkvæmt 2. mgr. 46. gr. laga nr. 81/2003 beri ábyrgðaraðila að veita skráðum einstaklingi kost á að andmæla beinni markaðssókn með tölvupósti þegar skráning á sér stað og í hvert sinn sem skilaboð eru send hafi viðskiptavinur ekki þegar í upphafi hafnað slíkri notkun. Því gildi 2. mgr. 21. gr. laga nr. 90/2018 ekki um vinnslu þegar þannig hátti til að markaðssókn sé beint að viðskiptavinum ábyrgðaraðila þar sem fjallað sé um þá háttsemi í tilvitnuðu ákvæði laga nr. 81/2003. Það sé sérákvæði sem ganga eigi framar fyrrgreindu ákvæði laga nr. 90/2018, sbr. 1. mgr. 5. gr. þeirra.

Líta ber til þess að orðalag 2. mgr. 21. gr. laga nr. 90/2018 tekur afdráttarlaust til skráa sem innihalda upplýsingar um netföng einstaklinga. Ekki er sérstaklega tilgreint í ákvæðinu eða í lögskýringargögnum að markaðssókn ábyrgðaraðila með tölvupósti gagnvart eigin viðskiptavinum falli utan þess. Þá ber jafnframt að geta þess að í athugasemdum við ákvæðið í frumvarpi því sem varð að lögum nr. 90/2018 kemur fram að sérreglur um bannskrá Þjóðskrár Íslands samkvæmt 2.-4. mgr. 21. gr. stefni að því að ná markmiðum reglugerðar (ESB) 2016/679 um andmælarétt skráðra einstaklinga í tengslum við beina markaðssetningu en að umræddar reglur gangi þó lengra en reglugerðin.

Þegar litið er til framangreinds orðalags 21. gr. laga nr. 90/2018 og athugasemda við ákvæðið í frumvarpi að lögunum telur Persónuvernd að leggja verði til grundvallar að markmið ákvæðisins sé meðal annars að veita einstaklingum rýmri andmælarétt en kveðið er á um í reglugerð (ESB) 2016/679. Jafnframt er bent á að ákvæði 21. gr. laga nr. 90/2018 tryggir einstaklingum annars vegar andmælarétt við vinnslu persónuupplýsinga, auk þess sem það mælir fyrir um sérstaka aðferð fyrir einstaklinga til að koma andmælum sínum á framfæri við alla þá ábyrgðaraðila sem ákvæðið gildir um, þ.e. með skráningu hjá Þjóðskrá Íslands. Ákvæði 2. mgr. 46. gr. laga nr. 81/2003 lýtur á hinn bóginn aðeins að sértækum rétti þeirra til að koma á framfæri andmælum við sérstakan og tilgreindan ábyrgðaraðila í afmörkuðum tilvikum en mælir ekki fyrir um aðferð. Verður samkvæmt þessu ekki séð að markmið ákvæðis 2. mgr. 46. gr. laga nr. 81/2003 sé fyllilega sambærilegt við ákvæði 21. gr. laga nr. 90/2018.

Að virtu því sem að framan hefur verið rakið er það mat Persónuverndar að ákvæði 2. mgr. 46. gr. laga nr. 81/2003 teljist ekki vera sérákvæði gagnvart 2. mgr. 21. gr. laga nr. 90/2018 í skilningi 1. mgr. 5. gr. þeirra. Af því leiðir að ábyrgðaraðili þarf að bera skrá sína, yfir þá einstaklinga sem fyrirhugað er að senda markpóst til, saman við skrá Þjóðskrár Íslands yfir þá sem hafa andmælt slíkri vinnslu, áður en slíkur póstur er sendur með tölvupósti, óháð því hvort um sé að ræða viðskiptamenn ábyrgðaraðila eða ekki.

Að gættu öllu framangreindu er það niðurstaða Persónuverndar að Símanum hf. hafi borið að bera saman nafn kvartanda við bannskrá Þjóðskrár, sbr. 2. mgr. 21. gr. laga nr. 90/2018, áður en honum var sendur tölvupóstur í tengslum við markaðssetningu fyrirtækisins. Þar sem fyrir liggur að slíkur samanburður var ekki framkvæmdur fyrir sendingu umrædds tölvupósts telst vinnsla Símans hf. á persónuupplýsingum kvartanda ekki hafa samrýmst 1. mgr. 21. gr. laga nr. 90/2018.

Ú r s k u r ð a r o r ð:

Sending Símans hf. á markaðsefni í tölvupósti til [A] samrýmdist ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Í Persónuvernd, 20. desember 2019

Björg Thorarensen

Aðalsteinn Jónasson               Ólafur Garðarsson

Vilhelmína Haraldsdóttir