Sölusímtöl frá DV ehf.
Mál nr. 2016/1582
Úrskurður
Á fundi stjórnar Persónuverndar þann 16. júní 2017 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/1582:
I.
Málsmeðferð
1.
Tildrög máls
Þann 8. nóvember 2016 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi), vegna sölusímtals frá DV ehf. Í kvörtuninni sagði m.a. að DV ehf. hefði í tveimur tilvikum á stuttum tíma hringt í kvartanda og boðið honum áskrift að dagblaði DV, þrátt fyrir að kvartandi væri á bannlista í símaskrá og í Þjóðskrá.
2.
Bréfaskipti
Með bréfi, dags. 24. nóvember 2016, var DV ehf. boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf DV ehf. er dagsett þann 6. desember 2016, en þar segir m.a. að DV ehf. geri ekki athugasemdir við kvörtunina eða efni hennar. Í því sambandi gengst DV ehf. við því að umrætt símtal hafi ekki verið unnið í samræmi við ákvæði 2. mgr. 28. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 46. gr. fjarskiptalaga nr. 81/2003. Félagið bendir einnig á að um hafi verið að ræða einstakt tilvik enda sé félaginu kunnugt um fyrrgreindar reglur.
Með bréfi, dags. 28. desember 2016, ítrekuðu með bréfi, dags. 25. janúar 2017, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar DV ehf. til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Engin svör bárust frá kvartanda. Samkvæmt símtali við kvartanda, þann 13. mars 2017, óskaði hann eftir því að Persónuvernd héldi málinu áfram en hann ætlaði ekki að senda inn frekari svör vegna málsins.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst DV ehf. vera ábyrgðaraðili að umræddri vinnslu.
2.
Lögmæti vinnslu
Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Helst kemur til álita að fella framangreinda vinnslu undir 7. tölul. 1. mgr. þeirrar greinar. Það ákvæði mælir fyrir um að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Vinnsla í þágu markaðssetningar hefur verið talin geta þjónað lögmætum hagsmunum og því geta samrýmst þessu ákvæði, enda hafi verið gætt hagsmuna þeirra sem hlut eiga að máli. Til þess þarf hins vegar að virða ákvæði um andmælarétt hins skráða.
Um vinnslu persónuupplýsinga í markaðssetningarstarfsemi gildir sérákvæði 28. gr. laga nr. 77/2000, með áorðnum breytingum. Ákvæðið gerir ráð fyrir sérstökum og ríkum andmælarétti hins skráða að því er varðar notkun persónuupplýsinga um hann í tengslum við markaðssetningarstarfsemi. Er þessi réttur ekki takmarkaður við að hinn skráði tilgreini sérstakar ástæður fyrir andmælum sínum. Þá er rúm túlkun á hugtakinu markaðssetning forsenda þess að ákvæði 28. gr. nái verndarmarkmiði sínu. Persónuvernd hefur því talið að undir það falli ekki aðeins kynning á vöru eða þjónustu sem í boði er gegn gjaldi heldur einnig annað áróðurs-, auglýsinga- og kynningarstarf þar sem reynir á sömu sjónarmið. Nánar tiltekið er litið svo á að undir hugtakið falli öll vinnsla við beina markaðssókn, þ.e. beina sókn að skilgreindum hópi einstaklinga í þeim tilgangi að hafa áhrif á þá, skoðanir þeirra eða hegðun. Tekur hugtakið þannig skýrlega til símhringingar DV ehf. í kvartanda í þeim tilgangi að bjóða honum áskrift að blaðinu.
Ákvæði 28. gr. laga nr. 77/2000 gerir ráð fyrir að Þjóðskrá Íslands haldi skrá yfir þá sem andmæla því að nöfn þeirra séu notuð í markaðssetningarstarfsemi. Nánar tiltekið segir í 1. mgr. ákvæðisins að þeir sem nota slíkar skrár, s.s. eigin viðskiptamannaskrár, í tengslum við markaðssetningarstarfsemi, skuli bera þær saman við bannskrá Þjóðskrár áður en þær eru notaðar í slíkum tilgangi, til að koma í veg fyrir að markpóstur verði sendur eða hringt verði til einstaklinga sem hafa andmælt slíku.
Af framangreindum ákvæðum 28. gr. laga nr. 77/2000 og reglum nr. 36/2005 um bannskrá sem settar voru af dómsmálaráðherra leiðir, að áður en viðskiptamannaskrá fyrirtækja er notuð í markaðssetningarstarfsemi þarf hinum skráðu að hafa verið gefinn kostur á að andmæla því, hverjum fyrir sitt leyti, að upplýsingar um þá birtist í skránni. Fyrir liggur að kvartandi hefur komið andmælum sínum á framfæri við Þjóðskrá Íslands með því að skrá sig á bannskrá Þjóðskrár.
Að virtu framangreindu, og ákvæði 1. gr. laga nr. 77/2000, um að markmið laganna sé að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs og 28. gr. laganna er það mat Persónuverndar að DV ehf. hafi, borið að bera nafn kvartanda saman við bannskrá Þjóðskrár áður en hringt var í hann í tengslum við markaðssetningu.
Af framangreindu er ljóst að vinnsla persónuupplýsinga um kvartanda hjá DV ehf. var ekki í samræmi við ákvæði 1. mgr. 28. gr. laga nr. 77/2000, enda var kvartandi skráður í bannskrá Þjóðskrár.
Ú r s k u r ð a r o r ð:
Símhringing DV ehf. í [A] með tilboði um áskrift að blaðinu var ekki í samræmi við ákvæði 1. mgr. 28. gr. laga nr. 77/2000. Eigi síðar en 16. ágúst 2017 skal DV ehf. hf. senda Persónuvernd lýsingu á ráðstöfunum sem tryggja að farið sé að framangreindu ákvæði.