Úrskurður um afgreiðslur Motusar ehf. og Landsbankans hf. á aðgangs- og upplýsingabeiðnum

Mál nr. 2020010740

27.11.2020

Úrskurður

Á fundi stjórnar Persónuverndar hinn 24. nóvember 2020 var kveðinn upp svohljóðandi úrskurður í máli nr. 2020010740 (áður 2017111707):

I.
Málsmeðferð

1.
Kvörtun

Hinn 24. nóvember 2017 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir synjun Motusar ehf. á beiðni hennar um gögn sem innihéldu persónuupplýsingar hennar tengdar innheimtu tiltekinna krafna í eigu Landsbankans hf. Beindist kvörtunin að báðum fyrirtækjunum. Beiðni kvartanda var sett fram og afgreidd í gildistíð laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, svo sem nánar er rakið í kafla II.1.

Með bréfi undir rekstri málsins, dags. 13. mars 2019, gerði kvartandi jafnframt athugasemdir við afgreiðslu Landsbankans hf. og Motusar ehf. á nýjum beiðnum hennar um aðgang að persónuupplýsingum hennar sem félögin höfðu til vinnslu. Voru umræddar beiðnir settar fram og afgreiddar eftir gildistöku laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, svo sem nánar er rakið í kafla II.1.

2.
Yfirlit yfir málsmeðferð

Með bréfum, dags. 20. desember 2017, tilkynnti Persónuvernd Landsbankanum hf. og Motusi ehf. um fyrrgreinda kvörtun frá 24. nóvember s.á. og veitti fyrirtækjunum færi á að tjá sig um hana. Svarað var af hálfu beggja fyrirtækja með bréfum, dags. 8. janúar 2018.

Í kjölfar ábendingar Persónuverndar til kvartanda um gildistöku laga nr. 90/2018 barst stofnuninni fyrrgreint bréf hennar, dags. 13. mars 2019. Landsbankinn hf. tjáði sig um erindi kvartanda með bréfi, dags. 23. maí s.á. en Motus ehf. með bréfi, dags. 6. desember s.á. Í kjölfar beiðni Persónuverndar veittu fyrirtækin stofnuninni frekari upplýsingar um afgreiðslu aðgangsbeiðna kvartanda samkvæmt lögum nr. 90/2018 með bréfum, dags. 21. ágúst 2020. Samdægurs barst Persónuvernd tölvupóstur frá kvartanda þar sem fram kom að hún teldi fyrirtækin ekki hafa afhent henni öll gögn til samræmis við beiðnir hennar.

Við úrlausn málsins hefur verið tekið tillit til allra gagna málsins, þrátt fyrir að ekki sé sérstaklega gerð grein fyrir efni þeirra allra.

Meðferð málsins hefur dregist verulega vegna mikilla anna hjá Persónuvernd.

3.
Sjónarmið kvartanda

Af upphaflegri kvörtun í málinu verður ráðið að kvartandi hafi í gildistíð laga nr. 77/2000 kallað eftir öllum gögnum frá Motusi ehf. varðandi innheimtu fyrirtækisins á tilteknum kröfum Landsbankans hf. á hendur henni, þar með talið afriti af tölvupóstsamskiptum starfsmanna fyrirtækjanna, auk upplýsinga um kröfuhafa vegna láns sem hefði verið afskrifað. Beiðnum kvartanda hafi hins vegar verið synjað.

Í bréfi kvartanda, dags. 13. mars 2019, kemur fram að hún hafi einnig sett fram aðgangsbeiðnir hjá Landsbankanum hf. og Motusi ehf. eftir gildistöku laga nr. 90/2018. Landsbankinn hf. hafi einungis vísað henni á að allar hennar persónuupplýsingar mætti finna í heimabanka. Þar sé þó engin skjöl að finna um nýlega niðurfellingu skulda auk þess sem kvartandi hafi ekki fengið aðgang að öllum samskiptum bankans við þriðja aðila sem varði hana. Motus ehf. hafi einungis sent kvartanda gögn sem hún hafi þegar haft undir höndum en beiðni hennar um öll gögn með persónuupplýsingum hennar, þar með talda tölvupósta, bréf og hljóðupptökur af símtölum, hafi hins vegar verið synjað með vísan til 7. tölul. 4. mgr. og 5. mgr. 17. gr. laga nr. 90/2018.

4.
Sjónarmið Motusar ehf.

Í svarbréfi Motusar ehf., dags. 8. janúar 2018, kemur fram að beiðni kvartanda um afrit af tölvupóstsamskiptum fyrirtækisins við Landsbankann hf. hafi borist 21. mars 2016. Beiðninni hafi verið synjað þar sem um hafi verið að ræða vinnugögn sem ekki hafi borið að afhenda. Í bréfinu segir jafnframt að samhliða framangreindri beiðni kvartanda hafi hún óskað eftir upplýsingum um kröfuhafa tiltekinna krafna sem fyrirtækið hafði til innheimtu. Þær upplýsingar hafi verið veittar með tölvupósti dagana 20. og 22. apríl s.á. Auk þess hafi kvartandi fengið afhent öll nauðsynleg gögn um tilurð og efni umræddra krafna. 

Samkvæmt svarbréfi Motusar ehf., dags. 21. ágúst 2020, lagði kvartandi fram nýja aðgangsbeiðni hjá fyrirtækinu þann 11. febrúar 2019 sem var afgreidd þann 20. s.m., með skýrslu til kvartanda um þær persónuupplýsingar hennar sem fyrirtækið hafði til vinnslu. Kvartandi hafi þó gert athugasemdir við þá afgreiðslu þar sem hún hafi ekki fengið afhent afrit af samskiptum fyrirtækisins við þá kröfuhafa sem fyrirtækið hafði annast innheimtu fyrir, þ.e. tölvupóstsamskiptum og upptökum símtala. Fyrirtækið líti svo á að óformleg tölvupóstsamskipti þess sem innheimtuaðila, sem sinni innheimtu á grundvelli innheimtulaga nr. 95/2008, við skjólstæðinga sína séu undanþegin aðgangsrétti samkvæmt lögum nr. 90/2018, þar sem þau séu í eðli sínu vinnugögn og tilgangur þeirra sé að undirbúa ákvarðanatöku um hvernig gæta skuli einkaréttarlegra hagsmuna skjólstæðings. Upptökur símtala liggi hins vegar ekki fyrir hjá fyrirtækinu.

5.
Sjónarmið Landsbankans hf.

Í svarbréfi Landsbankans hf., dags. 8. janúar 2018, kemur meðal annars fram að Motus ehf. hafi sent kvartanda afrit þeirra gagna sem kröfur bankans byggðu á. Hins vegar líti bankinn svo á að tölvupóstar á milli starfsmanna fyrirtækisins og Motusar ehf. hafi verið vinnuskjöl í skilningi 3. mgr. 19. gr. laga nr. 77/2000 sem upplýsingaréttur kvartanda hafi ekki tekið til. Af bréfinu má jafnframt ráða að Landsbankinn hf. hafi litið á sig sem ábyrgðaraðila að vinnslu umræddra persónuupplýsinga kvartanda.

Samkvæmt svarbréfi Landsbankans hf., dags. 23. maí 2019, óskaði kvartandi þann 13. febrúar s.á. eftir aðgangi að persónuupplýsingum sínum í flokkunum útlán og innheimta og vanskil hjá bankanum. Þann 29. mars s.á hafi Landsbankinn hf. afgreitt beiðni kvartanda með bréfi og skýrslu um allar þær persónuupplýsingar kvartanda sem Landsbankinn hf. hafði til vinnslu, þar á meðal upplýsingar um umrædd skuldabréf auk upplýsinga um endurreikning fasteignalána. Landsbankinn hf. líti hins vegar svo á að tölvupóstar starfsmanna bankans teljist vinnuskjöl í skilningi 17. gr. laga nr. 90/2018 enda hafi þeir ekki borist utanaðkomandi aðilum og séu einungis notaðir við undirbúning ákvarðana varðandi viðskiptavini bankans. Það sé jafnframt íþyngjandi fyrir bankann, með hliðsjón af stærð hans, að taka saman tölvupósta frá kvartanda, auk þess sem tölvupóstar séu aðeins varðveittir í fimm ár hjá bankanum. Þá sé póstþjónn bankans ekki skjalavistunarkerfi samkvæmt reglum bankans og þar séu ekki varðveittar upplýsingar um endanlega niðurstöðu einstakra mála. Bankinn hafi að lokum orðið við beiðnum einstaklinga um að fá að hlusta á símtöl. Aðeins lægi fyrir ein hljóðupptaka af símtali kvartanda við bankann, sem laut að aðgangsbeiðni hennar, sem henni stæði til boða að hlusta á.

II.
Forsendur og niðurstaða

1.
Lagaskil og afmörkun máls

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sem í gildi voru þegar kvörtun í máli þessu barst Persónuvernd, voru leyst af hólmi með lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sem tóku gildi hinn 15. júlí 2018. Þau lögfestu jafnframt persónuverndarreglugerðina, (ESB) 2016/679, eins og hún var aðlöguð og tekin upp í EES-samninginn.

Svo sem áður greinir lagði kvartandi fram upplýsingabeiðni hjá Motusi ehf. 21. mars 2016. Ljóst er af svörum Motusar ehf. að fyrirtækið tók afstöðu til beiðninnar í gildistíð laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Fer því um þá afgreiðslu samkvæmt þeim lögum.

Undir rekstri málsins, þann 11. febrúar 2019, lagði kvartandi fram nýja aðgangsbeiðni hjá Motusi ehf. sem fyrirtækið tók afstöðu til 20. s.m. Jafnframt lagði kvartandi fram aðgangsbeiðni hjá Landsbankanum hf. 13. febrúar s.á. sem bankinn tók afstöðu til 29. mars s.á. Fer um afgreiðslu fyrirtækjanna á þessum beiðnum kvartanda samkvæmt lögum nr. 90/2018.

Í báðum tilvikum er umkvörtunarefnið afmarkað við að kvartandi hafi ekki fengið þau gögn sem hún telur sig eiga rétt til. Takmarkast úrskurður þessi því við umrætt atriði.

2.
Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá. Gildissvið laga nr. 77/2000 og valdsvið Persónuverndar var hliðstætt.

Mál þetta lýtur að rétti kvartanda til að fá vitneskju um hvaða upplýsingar hennar hefur verið unnið með, sem og til að fá aðgang að gögnum frá Landsbankanum hf. og Motusi ehf. sem innihalda persónuupplýsingar um hana, þ.m.t. rafrænum samskiptum fyrirtækjanna og upptökum af símtölum þeirra. Um rétt kvartanda fór áður samkvæmt lögum nr. 77/2000 en nú er kveðið á um rétt kvartanda til aðgangs að persónuupplýsingum sínum í lögum nr. 90/2018, sbr. reglugerð (ESB) 2016/679, auk þess sem þar er að finna reglur um rétt hennar til að fá afrit af persónuupplýsingum sínum frá ábyrgðaraðila. 

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar, sbr. áður 4. tölul. 2. gr. laga nr. 77/2000.

Við mat á því hvort þeir sem vinna með persónuupplýsingar teljist ábyrgðaraðilar í skilningi tilvitnaðra lagaákvæða getur þurft að líta til ákvæða í öðrum lögum.

Fram hefur komið af hálfu Motusar ehf. að fyrirtækið sé innheimtuaðili sem starfi samkvæmt innheimtulögum, nr. 95/2008. Í 9. gr. þeirra segir að innheimtuaðili skuli eftir beiðni veita kröfuhafa upplýsingar um gang innheimtu. Ljúki innheimtu samkvæmt lögunum án eftirfarandi innheimtuaðgerða á grundvelli réttarfarslaga skuli innheimtuaðili að beiðni kröfuhafa afhenda honum skriflegt uppgjör er sýni hvað skuldari hafi verið krafinn um, hve mikið hann hafi greitt og hvenær og hver sé krafa innheimtuaðila um þóknun fyrir vinnu og útlagðan kostnað.

Að mati Persónuverndar verður ráðið af tilvitnuðu ákvæði laga nr. 95/2008 að innheimtuaðilum sé veitt nokkuð svigrúm til sjálfstæðis og ákvörðunartöku um hvernig þeir haga innheimtuaðgerðum en þeir beri þó upplýsingaskyldu gagnvart kröfuhöfum. Af þessu leiðir að jafnan geta innheimtuaðilar þurft að taka ákvarðanir um aðferðir og tilgang vinnslu persónuupplýsinga skuldara. Þá er til þess að líta að starfsemi innheimtuaðila á grundvelli innheimtulaga er starfsleyfisskyld, sbr. 3. gr. laganna, og um hana fer eftir ákvæðum þeirra. Með vísan til alls framangreinds ber því almennt að líta á innheimtuaðila sem sjálfstæða ábyrgðaraðila að vinnslu persónuupplýsinga vegna krafna sem þeir hafa til innheimtu í skilningi laga nr. 77/2000 og laga nr. 90/2018. 

Samkvæmt framangreindu verður lagt til grundvallar að Landsbankinn hf. og Motus ehf. teljist hvor um sig sjálfstæður ábyrgðaraðili að vinnslu persónuupplýsinga um kvartanda, þ.m.t. í tengslum við innheimtu krafna bankans á hendur henni. Af því leiðir að kvartandi gat beint aðgangsbeiðni að báðum fyrirtækjunum.

3.
Lagaumhverfi og niðurstaða

3.1.
Upplýsingaréttur samkvæmt lögum nr. 77/2000

Í máli þessu reynir annars vegar á það hvort afgreiðsla Motusar ehf. á beiðni kvartanda um tiltekin gögn, þ.m.t. tölvupóstsamskipti starfsmanna fyrirtækisins við starfsmenn Landsbankans hf., sem geymdu upplýsingar um nánar tilgreindar kröfur bankans á hendur kvartanda sem Motus ehf. hafði til innheimtu, hafi samrýmst lögum nr. 77/2000. 

Samkvæmt 1. mgr. 18. gr. laga nr. 77/2000 átti skráður einstaklingur rétt á að fá frá ábyrgðaraðila vitneskju um hvaða upplýsingar um hann var eða hefði verið unnið með (sbr. 1. tölul. ákvæðisins), tilgang vinnslunnar (sbr. 2. tölul.), hver fékk, hefði fengið eða myndi fá upplýsingar um hann (sbr. 3. tölul.), hvaðan upplýsingarnar kæmu (sbr. 4. tölul.), svo og hvaða öryggisráðstafanir væru viðhafðar við vinnsluna (sbr. 5. tölul.). Samkvæmt 2. mgr. sömu greinar skyldi beina beiðni um upplýsingar að ábyrgðaraðila og bar að veita vitneskjuna skriflega væri þess óskað.

Í framkvæmd sinni skýrði Persónuvernd ákvæði 18. gr. laga nr. 77/2000 svo að í því fælist réttur einstaklinga til aðgangs að persónuupplýsingum sínum, sbr. til dæmis úrskurð stofnunarinnar frá 18. ágúst 2008 í máli nr. 2007/890.

Af gögnum málsins verður ekki annað ráðið en að kvartanda hafi verið veittur aðgangur að þeim persónuupplýsingum hennar sem Motus ehf. vann með í samræmi við beiðnina, að því frátöldu að kvartanda var synjað um aðgang að tölvupóstsamskiptum starfsmanna Motusar ehf. og starfsmanna Landsbankans hf. í tengslum við innheimtu umræddra krafna. Byggði sú synjun á því að um vinnuskjöl væri að ræða í skilningi 3. mgr. 19. gr. laga nr. 77/2000. Að mati Persónuverndar verður samkvæmt því ekki annað séð en að ágreiningur málsaðila varðandi þá beiðni kvartanda sem hér er til umfjöllunar sé bundinn við aðgang að umræddum tölvupóstsamskiptum. 

Í fyrrnefndu ákvæði 3. mgr. 19. gr. nr. 77/2000 kom fram að væri um að ræða gögn í vörslu annarra ábyrgðaraðila en stjórnvalda tæki ákvæði 18. gr. laganna ekki til vinnuskjala eða annarra sambærilegra gagna sem unnin væru af ábyrgðaraðila sjálfum eða aðilum á hans vegum, t.d. sérstökum ráðgjöfum eða sérfræðingum.

Við túlkun á hugtakinu vinnuskjöl ber að líta til ákvæða upplýsingalaga nr. 140/2012, sbr. einkum 5. tölul. 6. gr. og 8. gr. þeirra. Í 1. mgr. 8. gr. laganna segir meðal annars að vinnugögn teljist þau gögn sem rituð eða útbúin hafa verið til eigin nota við undirbúning ákvörðunar eða annarra lykta máls. Gögn teljist ekki lengur til vinnugagna hafi þau verið afhent öðrum nema þau hafi einvörðungu verið afhent eftirlitsaðila á grundvelli lagaskyldu. Í athugasemdum við ákvæðið í frumvarpi til laganna segir að af orðalagi 1. mgr. 8. gr. leiði að til að skjal teljist vinnugagn þurfi almennt þremur skilyrðum að vera fullnægt. Gagn þurfi í reynd að vera undirbúningsgagn, það skuli ritað eða útbúið af starfsmönnum stjórnvaldsins (eða lögaðilans) sjálfs og það megi ekki hafa verið afhent öðrum. Í öðru skilyrðinu felist það meðal annars að gögn sem útbúin eru af utanaðkomandi sérfræðingum, svo sem verktökum, teljist ekki til vinnugagna í skilningi 8. gr. frumvarpsins. Í þriðja skilyrðinu, þ.e. að gagn hafi ekki verið afhent öðrum, felist það meðal annars að hafi skjal verið afhent einkaaðila eða stjórnvaldi, t.d. með tölvupósti eða öðrum hætti, teljist það almennt ekki lengur vinnugagn. 

Þrátt fyrir framangreint ber að líta til þess að heimild 3. mgr. 19. gr. laga nr. 77/2000 var ekki bundin við vinnuskjöl heldur tók hún jafnframt til sambærilegra gagna sem unnin væru af ábyrgðaraðila sjálfum eða aðilum á hans vegum, t.d. sérstökum ráðgjöfum eða sérfræðingum. Var ákvæðið því rýmra að þessu leyti en 1. mgr. 8. gr. laga nr. 140/2012.

Að mati Persónuverndar gátu þau skjöl sem hér um ræðir talist til vinnuskjala eða sambærilegra skjala í skilningi 3. mgr. 19. gr. laga nr. 77/2000. Þá telur Persónuvernd að líta megi svo á að Motus ehf. hafi veitt Landsbankanum hf. sérfræðiþjónustu í framangreindum skilningi, þrátt fyrir að Motus ehf. teljist jafnframt sjálfstæður ábyrgðaraðili, sbr. kafla II.2 hér að framan. Með hliðsjón af því þykir verða að líta svo á, eins og hér háttar til, að óformleg samskipti þessara aðila í tölvupósti um framkvæmd innheimtunnar hafi fallið undir ákvæðið. Í því sambandi bendir Persónuvernd á að sú undanþága sem mælt var fyrir um í ákvæðinu yrði markleysa ef ekki væri unnt að beita henni jafnt um báða aðila slíks sambands, þ.e. Landsbankann hf. og Motus ehf., eins og hér háttar til. 

Að þessu gættu telur Persónuvernd að Motusi ehf. hafi verið heimilt að synja kvartanda um aðgang að umræddum tölvupóstsamskiptum á grundvelli 3. mgr. 19. gr. laga nr. 77/2000. Er það því niðurstaða Persónuverndar að afgreiðsla Motusar ehf. á beiðni kvartanda samkvæmt 18. gr. laga nr. 77/2000 hafi samrýmst lögunum.

3.2.
Upplýsinga- og aðgangsréttur samkvæmt lögum nr. 90/2018

Í máli þessu reynir hins vegar á það hvort Landsbankinn hf. og Motus ehf. hafi afgreitt aðgangs- og upplýsingabeiðnir kvartanda, sem lagðar voru fram eftir gildistöku laga nr. 90/2018, í samræmi við lögin. Þar sem sambærileg sjónarmið eiga við um afgreiðslu Landsbankans hf. annars vegar og Motusar ehf. hins vegar á aðgangsbeiðnum kvartanda verður leyst úr þeim samhliða.

Samkvæmt 2. mgr. 17. gr. laga nr. 90/2018 á skráður einstaklingur rétt til aðgangs að persónuupplýsingum um sig samkvæmt fyrirmælum 15. gr. reglugerðar (ESB) 2016/679. Í 1. mgr. 15. gr. reglugerðarinnar er meðal annars kveðið á um að skráður einstaklingur skuli hafa rétt til að fá staðfestingu á því frá ábyrgðaraðila hvort unnar séu persónuupplýsingar sem varða hann sjálfan og, sé svo, rétt til aðgangs að persónuupplýsingum. Þá segir í 3. mgr. sömu greinar að ábyrgðaraðili skuli láta í té afrit af þeim persónuupplýsingum sem séu í vinnslu.

Af svörum Landsbankans hf. og Motusar ehf. og öðrum gögnum málsins verður ekki annað ráðið en að fyrirtækin hafi veitt kvartanda aðgang að þeim persónuupplýsingum hennar sem þau vinna með og þau telja sér skylt að veita kvartanda aðgang að. Hins vegar hafi kvartanda ekki verið veittur aðgangur að samskiptum starfsmanna þeirra í tengslum við innheimtu umræddra krafna, með vísan til þess að um væri að ræða vinnuskjöl í skilningi 5. mgr. 17. gr. laga nr. 90/2018. Jafnframt verður ráðið af svörum Landsbankans hf. að kvartanda hafi ekki verið veittur aðgangur að tölvupóstsamskiptum hennar sjálfrar við bankann með vísan til þess að samantekt umræddra gagna yrði bankanum of íþyngjandi. Þá liggur fyrir að Motus ehf. varðveitir ekki upptökur símtala. Með vísan til þessa er það mat Persónuverndar að ágreiningur málsaðila takmarkist við rétt kvartanda til aðgangs að samskiptum starfsmanna Landsbankans hf. og Motusar ehf. um málefni hennar annars vegar, og að tölvupóstsamskiptum hennar sjálfrar við Landsbankann hf. hins vegar.

3.2.1.
Samskipti Landsbankans hf. og Motusar ehf.

Samkvæmt 5. mgr. 17. gr. laga nr. 90/2018 er heimilt að takmarka rétt, sem veittur er á grundvelli 15. gr. reglugerðarinnar, ef um er að ræða persónuupplýsingar í vinnuskjölum sem notuð eru við undirbúning ákvarðana hjá ábyrgðaraðila, og ekki hefur verið dreift til annarra, að því marki sem nauðsynlegt er til að tryggja undirbúning málsmeðferðar. 

Ákvæði 5. mgr. 17. gr. var tekið upp í lög nr. 90/2018 við þinglega meðferð frumvarps þess sem varð að lögunum að undangenginni breytingartillögu. Í áliti meirihluta allsherjar- og menntamálanefndar um frumvarpið (sbr. þingskjal 1281 – 622. mál á 148. löggjafarþingi) í tengslum við breytingartillöguna segir að nauðsynlegt sé að fyrirtæki geti unnið tilteknar persónuupplýsingar á undirbúningsstigi, t.d. vegna ákvarðana í einstökum málum, enda augljósir hagsmunir fyrirtækja af því að veita ekki aðgang að undirbúningsgögnum þegar enn er unnið með þau. Ekki verði séð að hagsmunir einstaklinga séu fyrir borð bornir í slíkum tilvikum enda muni þeir eiga rétt á aðgangi að persónuupplýsingum þegar niðurstaða í málum er þá varða liggur fyrir. Í nefndarálitinu segir jafnframt að tilvik sem hér gætu fallið undir séu t.d. ýmis innanhússsamskipti milli starfsmanna sem hafi enga þýðingu fyrir hinn skráða til að gæta réttinda sinna. Sama eigi við um persónuupplýsingar í skjölum sem varði undirbúning ákvarðanatöku og hætta sé á að málsmeðferðin skaðist ef hinn skráði fái upplýsingarnar. Áréttað er að um undanþágu frá meginreglu laganna um rétt einstaklings til upplýsinga og aðgangs að persónuupplýsingum sínum sé að ræða sem skýra beri þröngt í samræmi við meginreglur um túlkun lagaákvæða.

Þegar litið er til orðalags 5. mgr. 17. gr. laga nr. 90/2018, svo lögskýringargagna, þykir verða að leggja til grundvallar að ákvæðið geymi sjálfstæða heimild til að takmarka réttindi skráðra einstaklinga þegar um er að ræða persónuupplýsingar sem fram koma í vinnuskjölum. Af tilvitnuðum athugasemdum í lögskýringargögnum leiðir jafnframt að á sambærileg sjónarmið reynir við skýringu ákvæðisins og við skýringu 3. mgr. 19. gr. laga nr. 77/2000, sbr. umfjöllun í kafla II.2.1. að framan.

Af skýringum Landsbankans hf. og Motusar ehf. í fyrirliggjandi máli verður ráðið að bæði fyrirtækin álíti samskipti starfsmanna sinna um mál kvartanda vera vinnuskjöl í skilningi 5. mgr. 17. gr. laga nr. 90/2018, sem undanþegin séu aðgangsrétti kvartanda, enda hafi þau ekki geymt endanlega niðurstöðu um málefni tengd kvartanda, auk þess sem þau hafi þjónað þeim tilgangi að leggja drög að hagsmunagæslu bankans í tengslum við innheimtu umræddra krafna. Fellst Persónuvernd á það mat fyrirtækjanna eins og hér háttar til. 

Hvað varðar það skilyrði í 5. mgr. 17. gr. að skjölunum hafi ekki verið dreift til annarra er það mat Persónuverndar að það beri að túlka á þá leið að skjölunum hafi ekki verið dreift til utanaðkomandi aðila. Með hliðsjón af þeirri vinnslu sem hér er til umfjöllunar, málsatvikum að öðru leyti og þeim sjónarmiðum sem rakin voru í kafla II.2.1. að framan um samband fyrirtækjanna þykir ekki rétt að líta svo á að þau samskipti, sem hér eru til skoðunar, feli í sér slíka dreifingu. 

Þá telur Persónuvernd verða ráðið af gögnum málsins að þeirri málsmeðferð sem fólst í innheimtu umræddra krafna hafi ekki verið endanlega lokið þegar beiðnir kvartanda voru afgreiddar, sbr. 5. mgr. 17. gr. laga nr. 90/2018. 

Með vísan til alls framangreinds er það niðurstaða Persónuverndar að Landsbankanum hf. og Motusi ehf. hafi verið heimilt að synja kvartanda um aðgang að þeim persónuupplýsingum hennar sem fram komu í samskiptum fyrirtækjanna í tengslum við innheimtu krafna sem bankinn átti á hendur kvartanda. 

Loks bendir Persónuvernd á að aðgangsréttur samkvæmt 2. mgr. 17. gr. laga nr. 90/2018 og 15. gr. reglugerðar (ESB) 2016/679 tekur aðeins til fyrirliggjandi gagna, sbr. t.d. úrskurð Persónuverndar frá 28. nóvember 2019 í máli nr. 2018/1443. Ekki liggur fyrir að Landsbankinn hf. og Motus ehf. hafi unnið með persónuupplýsingar kvartanda í formi hljóðritaðra símtala starfsmanna, svo sem verður skilið af málatilbúnaði kvartanda. Með vísan til þess kemur ekki til álita að kvartandi geti átt rétt til aðgangs að slíkum gögnum.

3.2.2.
Samskipti kvartanda við Landsbankann hf.

Svo sem að framan er rakið lýtur ágreiningur aðila jafnframt að rétti kvartanda til aðgangs að tölvupóstsamskiptum hennar sjálfrar við Landsbankann hf. 

Í 5. mgr. 12. gr. reglugerðar (ESB) 2016/679 segir meðal annars að séu aðgangs- og upplýsingabeiðnir augljóslega tilefnislausar eða óhóflegar, einkum vegna endurtekningar, sé ábyrgðaraðila heimilt að neita að verða við beiðni en það er þó ábyrgðaraðilans að sýna fram á að beiðni sé tilefnislaus eða óhófleg.

Að mati Persónuverndar verður ekki séð að sú ákvörðun Landsbankans hf. að veita kvartanda ekki aðgang að tölvupóstsamskiptum hennar sjálfrar við bankann, með vísan til þess hve íþyngjandi slík samantekt gæti reynst, hafi stuðst við ákvæði 4. eða 5. mgr. 17. gr. laga nr. 90/2018. Er í því sambandi rétt að líta sérstaklega til þess að slík samskipti teljast almennt ekki vinnugögn í skilningi 5. mgr. tilvitnaðs ákvæðis, óháð því hvort þau fela í sér endanlega afgreiðslu eða ekki. Þá er til þess að líta að Landsbankinn hf. hefur ekki, að mati Persónuverndar, sýnt fram á að beiðni kvartanda hafi verið tilefnislaus eða óhófleg að þessu leyti. Verður því ekki heldur séð að ákvörðun bankans um þessa takmörkun á aðgangsrétti kvartanda hafi stuðst við 5. mgr. 12. gr. reglugerðar (ESB) 2016/679. Samkvæmt því er það niðurstaða Persónuverndar að Landsbankanum hf. að hafi borið að veita kvartanda aðgang að umræddum tölvupóstum í samræmi við beiðni hennar, þ.e. þeim sem heyrðu undir flokkana útlán og innheimta og vanskil.

3.3.
Niðurstaða og fyrirmæli

Með vísan til framangreinds er það niðurstaða Persónuverndar að afgreiðsla Motusar ehf. á aðgangs- og upplýsingabeiðnum kvartanda hafi samrýmst lögum nr. 77/2000 og lögum nr. 90/2018, sbr. reglugerð (ESB) 2016/679. 

Þá er það niðurstaða Persónuverndar að afgreiðsla Landsbankans hf. á aðgangs- og upplýsingabeiðni kvartanda, sem sett var fram eftir gildistöku laga nr. 90/2018, hafi ekki samrýmst lögunum, sbr. reglugerð (ESB) 2016/679, að því er varðar rétt hennar til aðgangs að tölvupóstsamskiptum hennar sjálfrar við bankann í flokkunum útlán og innheimta og vanskil.

Í samræmi við þessa niðurstöðu og með vísan til 3. tölul. 42. gr. laga nr. 90/2018, sbr. c-lið 2. mgr. 38. gr. reglugerðar (ESB) 2016/679, er lagt fyrir Landsbankann hf. að veita kvartanda aðgang að fyrirliggjandi tölvupóstsamskiptum hennar við bankann í flokkunum útlán og innheimta og vanskil, til samræmis við beiðni hennar. Skal staðfesting á því að það hafi verið gert send Persónuvernd í síðasta lagi þann 4. janúar 2021.

Ú r s k u r ð a r o r ð:

 

Afgreiðsla Motusar ehf. á aðgangs- og upplýsingabeiðnum [A] samrýmdist lögum nr. 77/2000 og lögum nr. 90/2018, sbr. reglugerð (ESB) 2016/679. 

Afgreiðsla Landsbankans hf. á aðgangs- og upplýsingabeiðni kvartanda, sem sett var fram í gildistíð laga nr. 90/2018, samrýmdist ekki þeim lögum, sbr. reglugerð (ESB) 2016/679, að því er varðar rétt hennar til aðgangs að tölvupóstsamskiptum hennar sjálfrar við bankann í flokkunum útlán og innheimta og vanskil. 

Lagt er fyrir Landsbankann hf. að veita [A] aðgang að fyrirliggjandi tölvupóstsamskiptum hennar við bankann í flokkunum útlán og innheimta og vanskil. Skal staðfesting á því að það hafi verið gert send Persónuvernd í síðasta lagi þann 4. janúar 2021.

Í Persónuvernd, 24. nóvember 2020

 

Björg Thorarensen

formaður

Björn Geirsson                                           Vilhelmína Haraldsdóttir

Þorvarður Kári Ólafsson