Skráning Creditinfo Lánstraust hf. á vanskilaskrá í samræmi við lög

Mál nr. 2020123144

14.9.2021

Úrskurður

Hinn 6. ágúst 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020123144:

I.

Málsmeðferð

1.

Tildrög máls

Hinn 28. desember 2020 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir skráningu upplýsinga um hann á vanskilaskrá Creditinfo Lánstrausts hf. (Creditinfo) án þess að hann hafi fengið viðeigandi fræðslu um skráninguna áður. Þá lýtur kvörtun að því að Creditinfo hafi neitað að eyða áhrifum skráningarinnar á niðurstöður skýrslna um lánshæfi. 

Með bréfi, dags. 21. apríl 2021, var Creditinfo boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 11. maí 2021. Með tölvupósti, dags. 7. júní 2021, óskaði Persónuvernd eftir nánari upplýsingum frá Creditinfo. Svarað var með tölvupósti samdægurs. Með símtali, 11. júní s.á., óskaði Persónuvernd eftir nánari upplýsingum frá Creditinfo. Persónuvernd barst tölvupóstur frá Creditinfo í kjölfar símtalsins, 15. júní sá.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

2.

Sjónarmið kvartanda

Kvartandi vísar til þess að Creditinfo hafi ekki fallist á að afmá upplýsingar um tiltekin vanskil  sem voru færðar á skrá fyrirtækisins. Kveðst hann ekki hafa fengið tilkynningu frá Creditinfo um hina fyrirhuguðu skráningu á vanskilaskrá, dags. 16. mars 2020, og því hafi hann ekki fengið tækifæri til að koma mótbárum á framfæri, þar á meðal um uppgjör kröfunnar. Upplýsingar um uppgjör kröfu hafi borist Creditinfo 12. apríl s.á., þ.e. sama dag og vanskilafærslan hafi verið skráð á vanskilaskrá.

3.

Sjónarmið Creditinfo

Creditinfo vísar til þess að vanskilin hafi verið skráð með vísan til 7. tölul. liðar 2.2.1 í þágildandi starfsleyfi Creditinfo, sem var útgefið 29. desember 2017. Heimild til skráningar sé að finna í 8. gr. lánasamnings sem kvartandi hafi undirritað hjá kröfuhafa, en þar komi fram að með undirritun samningsins heimili kvartandi kröfuhafa að óska skráningar hjá Creditinfo á vanskilum, sem kunni að verða á láninu og varað hafi í a.m.k. 40 daga, til birtingar á skrá yfir vanskil og opinberar gjörðir. 

Krafan hafi verið í vanskilum frá 3. febrúar 2020 til 12. apríl s.á. en þann dag hafi krafan verið afskráð af vanskilaskrá á grundvelli uppgreiðslu. 

Í samræmi við ákvæði 2.4 í starfsleyfi Creditinfo hafi kvartanda verið send tilkynning á skráð lögheimili skv. þjóðskrá um fyrirhugaða skráningu upplýsinga á vanskilaskrá þann 16. mars 2020. Meðfylgjandi svarbréfi Creditinfo var afrit af bréfinu, stílað á kvartanda. Vísar Creditinfo til þess að þar sem fyrirtækinu hafi ekki borist upplýsingar um uppgjör málsins eða andmæli kvartanda hafi færslan farið á skrá þann 2. apríl 2020.

4.

Frekari samskipti

Persónuvernd óskaði eftir að Creditinfo upplýsti hvort fyrirtækið gerði ráðstafanir til að tryggja sönnun um að bréf um fyrirhugaða skráningu á vanskilaskrá fyrirtækisins hefði borist viðtakanda. Væri svo, var óskað eftir því að ferill bréfs, sem sent var kvartanda 16. mars 2020, yrði rakinn. 

Creditinfo svaraði því til að bréf um fyrirhugaða skráningu á vanskilaskrá væri sent á skráð lögheimili samkvæmt þjóðskrá með almennum pósti í samræmi við ákvæði í starfsleyfi félagsins. Bréf send með almennum pósti væru ekki rekjanleg. Vísaði Creditinfo til þess að ef bréf kæmi endursent til fyrirtækisins væri það verklag viðhaft að kannað væri hvort viðkomandi hefði fengið nýtt heimilisfang skráð hjá Þjóðskrá og í þeim tilfellum væri bréfið sent á nýtt heimilisfang. Væri heimilisfangið óbreytt í Þjóðskrá yrði það skráð hjá Creditinfo að bréfið hefði verið endursent frá Póstinum. Staðfesti Creditinfo að bréfið hefði ekki verið endursent frá Póstinum til fyrirtækisins.

Persónuvernd fékk jafnframt framsendan tölvupóst frá Umslagi ehf. til Creditinfo þar sem prentun og póstlagning áðurnefnds bréfs til kvartanda, þ.e. fræðslutilkynning vegna fyrirhugaðrar skráningar á vanskilaskrá, dags. 16. mars 2020, er staðfest. Fékkst það jafnframt staðfest frá Creditinfo að umrædd krafa hefði verið skráð á vanskilaskrá 2. apríl 2020, en ekki 12. apríl 2020, eins og í kvörtun greindi.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Mál þetta lýtur að vinnslu persónuupplýsinga um kvartanda í skrám Creditinfo. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst Creditinfo vera ábyrgðaraðili að umræddri vinnslu.

2.

Starfsleyfi Creditinfo Lánstrausts hf.

Starfræksla fjárhagsupplýsingastofa og vinnsla upplýsinga sem varða fjárhagsmálefni og lánstraust einstaklinga og lögaðila, þ.m.t. vanskilaskráning og gerð lánshæfismats, í því skyni að miðla þeim til annarra, skal bundin leyfi Persónuverndar, sbr. 15. gr. laga nr. 90/2018, sbr. 1. mgr. 2. gr. reglugerðar nr. 246/2001, um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust. Starfsemi Creditinfo fellur að miklu leyti undir framangreind ákvæði og hefur Persónuvernd veitt fyrirtækinu starfsleyfi í samræmi við þau, sbr. hvað einstaklinga varðar starfsleyfi Creditinfo vegna vinnslu upplýsinga um fjárhagsmálefni og lánstraust, dags. 29. desember 2017 (mál nr. 2017/1541), sem í gildi var þegar atvik þessa máls áttu sér stað.

3.

Lögmæti vinnslu

Hér reynir á hvort kvartanda hafi verið veitt fræðsla í aðdraganda skráningar upplýsinga um hann á skrá Creditinfo um fjárhagsmálefni og lánstraust einstaklinga. Þá reynir á hvort Creditinfo hafi verið heimilt að neita kvartanda um að eyða áhrifum vegna skráningarinnar samkvæmt 2. mgr. ákvæðis 2.7 í fyrrnefndu starfsleyfi á niðurstöður skýrslna um fjárhagsmálefni og lánstraust.

 
Í 2. mgr. 17. gr. laga nr. 90/2018 kemur fram að hinn skráði á rétt til upplýsinga um vinnslu, hvort sem persónuupplýsinga er aflað hjá honum sjálfum eða ekki, svo og rétt til aðgangs að persónuupplýsingum um sig samkvæmt fyrirmælum 13.-15. gr. reglugerðar (ESB) 2016/679. 

Í 14. gr. reglugerðarinnar er fjallað um upplýsingar sem ábyrgðaraðili skal veita þegar persónuupplýsingar hafa ekki fengist hjá skráðum einstaklingi. Samkvæmt 3. mgr. ákvæðisins skal ábyrgðaraðili láta í té upplýsingar sem um getur í 1. og 2. mgr. innan hæfilegs tíma eftir að hafa fengið persónuupplýsingar, þó í síðasta lagi mánuði síðar, og hafa hliðsjón af þeim sérstöku kringumstæðum sem eiga við um vinnslu persónuupplýsinganna. 

Í ákvæði 2.4 í fyrrgreindu starfsleyfi segir að hinn skráði eigi rétt á fræðslu frá fjárhagsupplýsingastofu um að hún hafi fært nafn hans á skrá sem hún ber ábyrgð á. Slíka fræðslu skuli stofan veita honum eigi síðar en fjórum vikum eftir að hún skráir upplýsingar um hann. Þó megi hún fresta því þar til 14 dögum áður en hún miðlar upplýsingunum í fyrsta sinn. Í lið 2.4.2 segir að senda skuli fræðslutilkynningu á skráð lögheimili samkvæmt þjóðskrá og að verði fjárhagsupplýsingastofa þess vör að fræðsla hafi ekki komist til skila, eða hafi hún ástæðu til að ætla að svo sé, skuli hún senda hinum skráða aðra tilkynningu. Í 2. mgr. ákvæðisins er vísað til fræðsluskyldu samkvæmt 2. mgr. 21. gr. laga nr. 77/2000 (ákvæði þágildandi persónuverndarlaga sem sambærilegt er við 14. gr. reglugerðarinnar) en jafnframt tekið fram að í henni felist ekki að aldrei megi hafa mann á skrá nema hann hafi sannarlega fengið fræðslu í hendur. Hafi fræðslutilkynning verið endursend, og fjárhagsupplýsingastofa kannað hvort hinn skráði hafi fengið nýtt heimilisfang samkvæmt Þjóðskrá, og reynt að senda honum nýja tilkynningu þangað, en hún verið endursend eða send um hæl með áritun um að hann hafi ekki vitjað sendingar, eða neitað að veita henni viðtöku, má stofan hafa nafn hans á skrá. Í 3. mgr. sömu greinar segir auk þess að velji fjárhagsupplýsingastofa að fylgja framangreindum verkferli skuli hún ávallt hafa undir höndum gögn er staðfesti að hún hafi gert það og geta framvísað þeim að ósk Persónuverndar. 

Eins og fyrr greinir hefur komið fram af hálfu Creditinfo að kvartanda hafi verið sent bréf, dags. 16. mars 2020, þar sem honum var tilkynnt um fyrirhugaða skráningu vanskila. Einnig hefur komið fram af hálfu fyrirtækisins að bréfið hafi ekki verið endursent. Kvartandi kveðst hins vegar ekki hafa fengið umrætt bréf. Um atvik í þeim efnum stendur orð gegn orði og er Persónuvernd ekki kleift að greiða úr ágreiningi um staðreyndir málsins hvað þetta varðar. Hins vegar getur stofnunin tekið afstöðu til þess hvort fullnægjandi vinnuferli hafi verið fylgt við veitingu fræðslu í ljósi framangreinds starfsleyfisákvæðis. 

Í því sambandi er til þess að líta að eins og lýst er í kafla I.4 hér að framan upplýsti Creditinfo Persónuvernd hinn 11. og 15. júní 2021 um hvert vinnuferli fyrirtækisins hafi verið við sendingu umrædds bréfs. Þá sendi fyrirtækið Persónuvernd staðfestingu frá Umslagi ehf., sem sér um að senda bréf fyrir Creditinfo, um að bréfið hefði verið prentað og póstlagt. Telur Persónuvernd þetta vinnuferli við veitingu fræðslu hafa verið fullnægjandi í ljósi laga og framangreindra starfsleyfisskilmála. 

Að framangreindu virtu er niðurstaða Persónuverndar sú að vinnsla Creditinfo á persónuupplýsingum um kvartanda hafi samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679. Verður af þeirri ástæðu ekki talið að Creditinfo hafi borið að eyða áhrifum vegna skráningar vanskila kvartanda á niðurstöðu skýrslna um fjárhagsmálefni og lánstraust. Jafnframt skal hins vegar tekið fram að í ljósi 2. mgr. ákvæðis 5.3 í nýju starfsleyfi, dags. 3. maí 2021, sbr. breytingu 10. júní s.á., eiga slík áhrif vegna skráningarinnar nú að vera horfin.

Ú r s k u r ð a r o r ð:

Vinnsla Creditinfo Lánstrausts hf. á persónuupplýsingum um [A], sem fólst í skráningu upplýsinga um hann á vanskilaskrá Creditinfo Lánstrausts hf. og neitun fyrirtækisins á að eyða áhrifum vegna skráningarinnar á niðurstöður skýrslna um lánshæfi, samrýmdist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

F.h. Persónuverndar,

Þórður Sveinsson                   Helga Sigríður Þórhallsdóttir