Úrskurður um markaðssetningarsímtöl 365

Mál nr. 2016/1212

12.6.2017

Úrskurður

 

Á fundi stjórnar Persónuverndar þann 18. maí 2017 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/1212:

 

I.
Málsmeðferð

1.
Tildrög máls og bréfaskipti

Þann 17. ágúst 2016 barst Persónuvernd kvörtun frá [A] vegna símtals sem hann fékk frá starfsmanni 365 miðla hf. í þágu markaðssetningar. Í kvörtuninni segir að kvartandi hafi fengið símtal frá starfsmanni 365 miðla þar sem honum hafi verið boðin áskrift að sportrás Stöðvar 2 þrátt fyrir að hann væri bannmerktur bæði í símaskrá og í þjóðskrá.

 

Með bréfi, dags. 30. nóvember 2016, var 365 miðlum hf. boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf 365 miðla barst Persónuvernd þann 11. janúar 2017.

 

Í svarbréfi 365 miðla kemur fram að ekki verði séð að lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga hindri fyrirtæki að halda utan um netföng og aðrar upplýsingar um viðskiptamenn sína í einhvern tíma eftir að viðskiptasambandi lýkur. 365 miðlar hf. telji því að gætt hafi verið að ákvæðum laga um persónuvernd og meðferð persónuupplýsinga, sbr. m.a. 2. mgr. 28. gr. og 1. mgr. 26. gr. laganna. Þá kemur einnig fram í svarbréfi 365 miðla hf. að það hafi verið mistök að hringja í kvartanda og unnið sé að því að  fyrirbyggja að slík mistök endurtaki sig.

 

Með bréfi, dags. 20. febrúar 2017, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar 365 miðla til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf kvartanda, dags 27. febrúar 2017, barst Persónuvernd þann 1. mars 2017. Þar sagði m.a. að kvartandi ætti ekki í viðskiptum við 365 miðla Mótmælti kvartandi því að hann teldist til viðskiptavina fyrirtækisins. jafnvel þótt hann væri skráður á viðskiptaskrá þeirra. Þá sætti kvartandi sig ekki við það að verið væri að brjóta á réttindum sínum með símhringingum frá 365 miðlum  þar sem hann væri bannmerktur bæði í símaskrá og þjóðskrá.

 

II.
Forsendur og niðurstaða

1.
Gildissvið laga nr. 77/2000

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

 

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst 365 miðlar hf. vera ábyrgðaraðili að umræddri vinnslu.

 

 

2.
Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Þá verður vinnsla viðkvæmra persónuupplýsinga, sbr. 8. tölul. 2. gr. sömu laga, að samrýmast einhverju af viðbótarskilyrðum 9. gr. laganna.

Vinnsla persónuupplýsinga verður að hafa heimild í 1. mgr. 8. gr. laga nr. 77/2000. Helst kemur til álita að fella framangreinda vinnslu undir 7. tölul. 1. mgr. þeirrar greinar. Það ákvæði mælir fyrir um að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Vinnsla í þágu markaðssetningar hefur verið talin geta þjónað lögmætum hagsmunum og því geta samrýmst þessu ákvæði, enda hafi verið gætt hagsmuna þeirra sem hlut eiga að máli. Til þess þarf hins vegar að virða ákvæði um andmælarétt hins skráða.

Um vinnslu persónuupplýsinga í markaðssetningarstarfsemi gildir sérákvæði 28. gr. laga nr. 77/2000, með áorðnum breytingum. Ákvæðið gerir ráð fyrir sérstökum og ríkum andmælarétti hins skráða að því er varðar notkun persónuupplýsinga um hann í tengslum við markaðssetningarstarfsemi. Er þessi réttur ekki takmarkaður við að hinn skráði tilgreini sérstakar ástæður fyrir andmælum sínum. Þá er rúm túlkun á hugtakinu markaðssetning forsenda þess að ákvæði 28. gr. nái verndarmarkmiði sínu. Persónuvernd hefur því talið að undir það falli ekki aðeins kynning á vöru eða þjónustu sem í boði er gegn gjaldi heldur einnig annað áróðurs-, auglýsinga- og kynningarstarf þar sem reynir á sömu sjónarmið. Nánar tiltekið er litið svo á að undir hugtakið falli öll vinnsla við beina markaðssókn, þ.e. beina sókn að skilgreindum hópi einstaklinga í þeim tilgangi að hafa áhrif á þá, skoðanir þeirra eða hegðun. Tekur hugtakið þannig skýrlega til símhringingar 365 miðla  í kvartanda í þeim tilgangi að bjóða honum áskrift að sportrás Stöðvar 2.

Eins og fram kemur í skýringum við ákvæði 28. gr. í athugasemdum, sem fylgdu frumvarpi því er varð að lögum nr. 77/2000, ber að túlka það með hliðsjón af b-lið 14. gr. tilskipunar nr. 95/46/EB. Þar er mælt fyrir um rétt hins skráða til að andmæla vinnslu persónuupplýsinga um sig sem ábyrgðaraðili fyrirhugar vegna beinnar markaðssetningar, sem og til að vera skýrt frá því og veittur kostur á andmælum áður en persónuupplýsingar eru fyrst fengnar þriðju aðilum, eða notaðar fyrir þeirra hönd, í því skyni.

Ákvæði 28. gr. laga nr. 77/2000 gerir ráð fyrir að Þjóðskrá Íslands haldi skrá yfir þá sem andmæla því að nöfn þeirra séu notuð í markaðssetningarstarfsemi. Nánar tiltekið segir í 1. mgr. ákvæðisins að þeir sem nota slíkar skrár, s.s. eigin viðskiptamannaskrár, í tengslum við markaðssetningarstarfsemi, skuli bera þær saman við bannskrá Þjóðskrá áður en þær eru notaðar í slíkum tilgangi, til að koma í veg fyrir að markpóstur verði sendur eða hringt verði til einstaklinga sem hafa andmælt slíku.

Þá er einnig fjallað um bannskrá Þjóðskrár og andmæli einstaklinga við markaðssetningarstarfsemi í reglum nr. 36/2005 sem settar voru af dómsmálaráðherra þann 5. janúar 2005. Í 4. gr. reglnanna segir að þeim sem stunda markaðssetningarstarfsemi sé skylt að beita bannskrá Þjóðskrár við starfsemi sína, s.s. við útsendingu dreifibréfa, happdrættismiða, gíróseðla, auglýsinga og kynningarefnis, símhringingar, útsendingu tölvupósts eða beitingu hliðstæðra aðferða, sem varða kaup eða leigu á vöru eða þjónustu eða þátttöku í tiltekinni starfsemi, hvort sem hún er viðskiptalegs eðlis eða varðar tómstundir, afþreyingu, námskeið eða sambærilegt atferli, sbr. 2. mgr. 2. gr. reglnanna.

Að auki má líta til 5. mgr. 46. gr. laga nr. 81/2003 um fjarskipti , jafnvel þótt eftirlit með þeim lögum heyri undir Póst- og fjarskiptastofnun, enda var kvartandi einnig x-merktur í símaskrá Já ehf.

Tekið skal fram að ekki er útilokað að fyrirtæki geti haft samband við bannskráða einstaklinga, sem þegar eru í samningsbundnum viðskiptum við þau, til að upplýsa þá um atriði sem varða samningssambandið, sbr. einkum 2. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Gæti það meðal annars átt við upplýsingagjöf um þjónustu sem viðkomandi hafa þegar keypt. Þessi sjónarmið geta þó ekki komið til skoðunar í því máli sem hér er til úrlausnar þar sem kvartandi var ekki í viðskiptum við 365 miðla hf. þegar hann fékk umþrætta símhringingu.

Af framangreindum ákvæðum 28. gr. laga nr. 77/2000 og reglum nr. 36/2005 leiðir, að áður en viðskiptamannaskrá fyrirtækja er notuð í markaðssetningarstarfsemi þarf hinum skráðu að hafa verið gefinn kostur á að andmæla því, hverjum fyrir sitt leyti, að upplýsingar um þá birtist í skránni. Fyrir liggur að kvartandi hefur komið andmælum sínum á framfæri við Þjóðskrá með því að skrá sig á bannskrá Þjóðskrár. Þá hefur kvartandi einnig ítrekað komið andmælum sínum á framfæri við 365 miðla hf. Þrátt fyrir slík andmæli hafa honum áfram borist símtöl þar sem honum er boðin áskrift að sjónvarpsrás fyrirtækisins.

Að virtu framangreindu, og ákvæði 1. gr. laga nr. 77/2000, um að markmið laganna sé að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs, og skýringum við ákvæði 28. gr. í athugasemdum sem fylgdu frumvarpi því er varð að lögum nr. 77/2000, er það mat Persónuverndar að 365 miðlar hf. hafi, áður en hringt var í kvartanda, borið að bera nafn hans saman við bannskrá Þjóðskrár.

Af framangreindu er ljóst að vinnsla persónuupplýsinga um kvartanda hjá 365 miðlum  var ekki í samræmi við ákvæði 1. mgr. 28. gr. laga nr. 77/2000, enda var kvartandi skráður í bannskrá Þjóðskrár. Með vísan til 1. mgr. 40. gr. laga nr. 77/2000 er hér með lagt fyrir 365 miðla að merkja kvartanda skilmerkilega sem bannskráðan í upplýsingakerfi sitt. Þá er lagt fyrir 365 miðla  að senda Persónuvernd drög að reglum um verklag þegar einstaklingar eru bannmerktir í Þjóðskrá eigi síðar en 1. júlí nk.

Ú r s k u r ð a r o r ð:

 

Vinnsla persónuupplýsinga um kvartanda hjá 365 miðlum hf. samrýmdist ekki ákvæði 1. mgr. 28. gr. laga nr. 77/2000.