Úrskurður um vinnslu upplýsinga um umdeilda skuld

Mál nr. 2016/1687

1.3.2018

Úrskurður

 

Á fundi stjórnar Persónuverndar hinn 18. janúar 2018 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/1687:

 

I.
Málsmeðferð

 

1.
Tildrög máls – Kvörtun

Hinn 24. nóvember 2016 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur „kvartandi“) yfir Landsbankanum hf. og Lögheimtunni ehf. vegna færslu upplýsinga um kröfu á hendur honum á skrá Creditinfo Lánstrausts hf. um fjárhagsmálefni og lánstraust einstaklinga. Í kvörtuninni segir meðal annars að við gjaldþrot sonar kvartanda hafi framangreindir aðilar krafið hann sem ábyrgðarmann um greiðslu á skuld sonarins. Kvartandi segist hafa gert athugasemd við kröfuna en athugasemdin hafi ekki verið tekin til greina.

 

2.
Bréfaskipti

Með bréfum, dags. 9. mars. 2017, veitti Persónuvernd Landsbankanum hf. og Lögheimtunni ehf. færi á að tjá sig um framangreinda kvörtun. Landsbankinn hf. svaraði með bréfi, dags. 3. apríl s.á., og Lögheimtan ehf. með bréfi, dags. 8. s.m. Í svari Landsbankans hf. segir meðal annars að nafn kvartanda sé ekki á skrá Creditinfo Lánstrausts hf. um fjárhagsmálefni og lánstraust einstaklinga vegna sjálfskuldaábyrgðar á láni sonar hans hjá bankanum. Í svari Lögheimtunnar ehf. segir að umrædd færsla með nafni kvartanda á framangreindri skrá sé til komin vegna innheimtu Lögheimtunnar á kröfu samkvæmt skuldabréfi fyrir Landsbankann hf. sem kvartandi hafi borið sjálfskuldaábyrgð á. Í skuldabréfinu sé tekið fram að bankanum sé heimilt að færa upplýsingar um vanskil á skrána hafi þau varað í 90 daga eða lengur, en svo hafi verið í þessu tilviki. Innheimta á skuldabréfinu gagnvart kvartanda hafi hafist í júní 2015 og í nóvember 2016 hafi krafin verið greidd. Að auki segir meðal annars að kvartandi hafi þá verið búinn krefjast þess af Creditinfo Lánstrausti hf. að upplýsingar um sig yrðu teknar af skránni og hafi verið orðið við þeirri beiðni.

Með bréfi, dags. 19. júní 2017, ítrekuðu með bréfi, dags. 2. október s.á., veitti Persónuvernd kvartanda færi á að tjá sig um framangreindar skýringar Landsbankans hf. og Lögheimtunnar ehf. Hinn 13. október 2017 barst svar frá kvartanda, en þar segir að vegna færslu nafns hans á umrædda skrá Creditinfo Lánstrausts hf. hafi hann ekki fengið lán til að greiða þá skuld sem hér um ræðir. Hann hafi því neyðst til að selja íbúð í sinni eigu og orðið fyrir tapi þar sem miklar verðhækkanir hafi orðið á íbúðinni eftir sölu hennar. Þá spyr kvartandi hvort heimilt hafi verið að færa nafns hans á skrána á meðan ágreiningur var um málið og krafan umdeild.

Með bréfum, dags. 31. október 2017, var óskað nánari skýringa frá Landsbankanum hf. og Lögheimtunni ehf. Nánar tiltekið var þess óskað að upplýst yrði um dagsetningu færslu á nafni kvartanda á umrædda skrá Creditinfo Lánstrausts hf. og hvort kvartandi hefði komið á framfæri andmælum við skráningu. Þá var óskað gagna sem til kynnu að vera um framangreint. Landsbankinn hf. svaraði með bréfi, dags. 17. nóvember 2017, en þar segir meðal annars að kvartandi hafi gert athugasemdir við þá kröfu sem lá skráningunni til grundvallar hinn 29. nóvember 2015. Hafi bankinn talið að um lögmæta kröfu væri að ræða og hafi því ekki verið fallist á að skráningin yrði felld niður nema krafan yrði gerð upp. Hins vegar hafi verið fallist á athugasemdir kvartanda að hluta og krafan lækkuð töluvert, auk þess sem veittur hafi verið af henni ríflegur afsláttur.

Svar frá Lögheimtunni ehf. barst með bréfi, dags. 13. nóvember 2017. Þar kemur fram að grundvöllurinn fyrir skráningunni var skilmáli í því skuldabréfi sem hér um ræðir, þess efnis að við tiltekin vanskil mætti færa upplýsingar um vanskilin á áðurnefnda skrá. Þá segir að upplýsingar hafi verið sendar Creditinfo Lánstrausti hf. til færslu á skrána hinn 17. nóvember 2015 og þær skráðar hinn 4. desember s.á. samkvæmt upplýsingum frá fyrirtækinu. Í millitíðinni hafi kvartandi komið á framfæri því sjónarmiði að skuldin væri fyrnd og hafi því verið svarað með rökstuddum hætti að svo væri ekki. Hafi í framhaldinu verið krafist fjárnáms hjá kvartanda sem hafi haft uppi sömu mótmæli við sýslumann. Hann hafi hins vegar ekki fallist á þau og hafi fjárnámið náð fram að ganga. Segir að því sé hafnað að brotið hafi verið á rétti kvartanda með færslu upplýsinga um hann á umrædda skrá þar sem skráningin hafi byggst á aðfararhæfri kröfu, auk þess sem samningsbundin heimild til skráningarinnar hafi legið fyrir.

Með svari Lögheimtunnar ehf. fylgdi útprentun á tölvupóstsamskiptum hennar og kvartanda hinn 29. nóvember 2015. Fór kvartandi þar fram á við Lögheimtuna ehf., með erindi sendu á netfang hennar, auk netfanga hjá Landsbankanum hf. og Creditinfo Lánstrausti hf., að skráning á nafni hans á skrá síðastnefnda fyrirtækisins um fjárhagsmálefni og lánstraust einstaklinga yrði tafarlaust afturkölluð þar sem áðurnefnt skuldabréf hefði fallið í gjalddaga meira en fjórum fyrr og sjálfskuldarábyrgð hans því verið fyrnd samkvæmt þeim fyrningarreglum sem um slíkar skuldbindingar frá því fyrir 1. janúar 2008 gilda. Frá Lögheimtunni ehf. barst kvartanda svar þar sem því var samsinnt að um ábyrgðarskuldbindingu hans gilti fjögurra ára fyrningarfrestur, þ.e. samkvæmt lögum nr. 14/1905 um fyrningu skulda og annarra kröfuréttinda. Hins vegar lægi fyrir að skuldabréfið hefði ekki verið gjaldfellt að fullu við fyrstu vanskil. Þegar af þeim sökum væri ekki fallist á að skuld samkvæmt því væri fyrnd í heild sinni þó svo að stakir gjalddagar kynnu að vera það.

Að auki fylgdi með svari Lögheimtunnar ehf. endurrit úr gerðarbók sýslumannsins á höfuðborgarsvæðinu frá […]. apríl 2016. Kemur þar fram að þann dag hafi fjárnámsbeiðni Landsbankans hf. á hendur kvartanda verið tekin fyrir og að kvartandi hafi mótmælt henni með vísan til þess að um ræddi fyrnda kröfu. Ekki hafi verið fallist á þau mótmæli og því gert fjárnám í tilteknum eignum hans.

Með bréfi, dags. 4. desember 2017, var kvartanda veittur kostur á athugasemdum við framangreind svör Lögheimtunnar ehf. og Landsbankans hf. Ekki barst svar frá kvartanda.

Hinn 8. desember 2017 veitti Persónuvernd Lögheimtunni ehf. og Landsbankanum hf. færi á að tjá sig um hvort færsla nafns kvartanda á fyrrnefnda skrá hefði verið heimil þegar litið væri til 3. mgr. greinar 2.1 í því starfsleyfi stofnunarinnar til Creditinfo Lánstrausts hf. sem starfræksla skrárinnar byggðist á þegar atvik málsins áttu sér stað, þ.e. leyfi, dags. 29. desember 2014 (mál nr. 2014/1640). Nánar tiltekið var þar um að ræða ákvæði sem lagði bann við því að á grundvelli leyfisins væri unnið með upplýsingar um umdeildar skuldir. Lögheimtan ehf. svaraði í tölvupósti hinn 13. desember 2017, en þar segir meðal annars að við fyrirtöku áðurnefnds fjárnáms sýslumanns hinn […]. apríl 2016 hafi kvartandi lýst því yfir að hann myndi vísa málinu til dómstóla en hins vegar ekki gert það og greitt kröfuna. Landsbankinn hf. svaraði með bréfi, dags. 21. desember 2017, en þar segir að fyrrnefnt erindi kvartanda hinn 29. nóvember 2015 til Lögheimtunnar ehf., sem einnig var sent á netfang hjá meðal annars Landsbankanum hf., hafi ekki borist bankanum þar sem viðkomandi netfang bankans hafi verið misritað. Hafi hann því ekki fengið vitneskju um andmæli kvartanda við skráningu á nafni hans hjá Creditinfo Lánstrausti hf. fyrr en við fyrirtöku fjárnáms á hendur honum.

 

II.
Forsendur og niðurstaða

 

1.
Gildissvið laga nr. 77/2000
Ábyrgðaraðilar að vinnslu

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu greinar. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Fyrir liggur að Lögheimtan ehf. miðlaði upplýsingum um kvartanda til skráningar hjá Creditinfo Lánstrausti hf. en einnig að sú miðlun var þáttur í störfum fyrirtækisins fyrir Landsbankann hf. Í því sambandi ber að líta stöðu Lögheimtunnar ehf. sem innheimtuaðila samkvæmt innheimtulögum nr. 95/2008, m.a. skyldu slíks aðila til að afla leyfis til starfsemi sinnar samkvæmt 4. gr. laganna, sem og til kaupa á starfsábyrgðartryggingu samkvæmt 14. gr. laganna. Af þessu verður ályktað að gert sé ráð fyrir sjálfstæðum ákvörðunum innheimtuaðila um hvernig innheimtu sé háttað. Þegar litið er til þess telur Persónuvernd Lögheimtuna ehf. vera ábyrgðaraðila að þeirri vinnslu persónuupplýsinga sem hér um ræðir. Jafnframt er ljóst að Landsbankinn hf. fór með ákvörðunarvald um vinnsluna og telur Persónuvernd hann því einnig vera ábyrgðaraðila að henni.

 

2.
Lögmæti vinnslu

Svo að vinna megi með persónuupplýsingar verður ávallt að vera fullnægt kröfum einhvers af heimildarákvæðum 8. gr. laga nr. 77/2000. Hefur verið litið svo á að vinnsla upplýsinga um fjárhagsmálefni og lánstraust einstaklinga geti meðal annars átt sér stoð í 7. tölul. 1. mgr. þeirrar greinar, þ.e. á þeim grundvelli að vinnsla sé nauðsynleg í þágu lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.

Að auki verður, eins og ávallt þegar unnið er með persónuupplýsingar, að fara að öllum grunnkröfum 7. gr. laga nr. 77/2000, þ. á m. um að persónuupplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti slíkra upplýsinga (1. tölul.); að þær skulu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skulu vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem eru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.).

Um skráningu upplýsinga um fjárhagsmálefni og lánstraust er fjallað í reglugerð nr. 246/2001 um söfnun og miðlun slíkra upplýsinga, sbr. m.a. 3. mgr. 45. gr. laga nr. 77/2000. Samkvæmt 2. gr. reglugerðarinnar verður aðili, sem slíka söfnun og miðlun hefur með höndum, þ.e. fjárhagsupplýsingastofa, að hafa fengið starfsleyfi frá Persónuvernd. Sá aðili sem þeim upplýsingum sem hér um ræðir var miðlað til, þ.e. fjárhagsupplýsingastofan Creditinfo Lánstraust hf., hafði þá þess háttar starfsleyfi, en nánar tiltekið er hér átt við leyfi, dags. 29. desember 2014 (mál nr. 2014/1640), sem stofan hafði til að halda skrá með slíkum upplýsingum og fyrr greinir um einstaklinga (sbr. nú starfsleyfi, dags. 28. febrúar 2017 (mál nr. 2016/1626)).

Þó svo að starfsleyfi sé veitt til handa fjárhagsupplýsingastofu geta skyldur tengdar þeirri upplýsingavinnslu, sem fram fer á stofunni, einnig hvílt á öðrum. Er þá meðal annars til þess að líta að áskrifendur að upplýsingaþjónustu stofunnar geta eftir atvikum sjálfir sent henni upplýsingar til skráningar, en svo háttaði til í máli þessu. Nánar tiltekið lét Lögheimtan ehf. skrá upplýsingar hjá Creditinfo Lánstrausti hf. um að kvartandi í málinu hefði vanefnt kröfu vegna sjálfskuldarábyrgðar á skuldabréfi, bundnu þeim skilmála að upplýsingar um vanskil, sem vara lengur en 90 daga, yrðu sendar því til skráningar. Við þá vinnslu bar Lögheimtunni ehf., m.a. í ljósi fyrrnefnds ákvæðis 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, að líta til 3. mgr. í grein 2.1 í þágildandi starfsleyfi (sbr. sama ákvæði, efnislega sambærilegt, í núgildandi starfsleyfi), þess efnis að vinnsla upplýsinga um umdeildar skuldir væri óheimil, en það ætti við ef skuldari hefði andmælt skuld og hún ekki verið staðfest með réttargjörð. Þá hvíldi sú skylda einnig á Landsbankanum hf. sem kröfuhafa að tryggja að eigin frumkvæði, þ.e. óháð því hvort honum bærist beiðni þar að lútandi frá hinum skráða, að unnið yrði samkvæmt þessu.

Eins og rakið hefur verið kom kvartandi þeim andmælum á framfæri við Lögheimtuna ehf. hinn 29. nóvember 2015, studdum tilteknum röksemdum, að um ræddi fyrnda kröfu. Einnig hefur komið fram að krafan var staðfest með réttargjörð hinn […]. apríl 2016 með fjárnámi sýslumanns. Í því sambandi skal tekið fram að fyrrnefnt starfsleyfisákvæði gerði ekki ráð fyrir að réttargjörð samkvæmt því þyrfti að fela í sér endanlega niðurstöðu um lögmæti kröfu. Fjárnámsgerð sýslumanns nægði því til þess að ekki teldist lengur um umdeilda kröfu í skilningi ákvæðisins að ræða þó svo að því kynni síðar að verða hnekkt af dómstólum. Einnig er hins vegar til þess að líta að þegar fjárnámið var gert höfðu upplýsingar um kvartanda þegar verið á skrá hjá Creditinfo Lánstrausti hf. alllengi, þ.e. frá 4. desember 2015, þrátt fyrir fyrirmæli umrædds starfsleyfisákvæðis.

Með vísan til alls framangreinds telst sú vinnsla persónuupplýsinga á ábyrgð Lögheimtunnar ehf. og Landsbankans hf., sem fólst í því að láta skrá upplýsingar um kvartanda vegna umræddrar kröfu hjá Creditinfo Lánstrausti hf. hinn 4. desember 2015 og viðhalda þeirri skráningu til […]. apríl 2016 án viðhlítandi réttargjörðar, ekki hafa samrýmst lögum nr. 77/2000.

Meðferð máls þessa hefur dregist vegna mikilla anna hjá Persónuvernd.

 

 

Ú r s k u r ð a r o r ð:

 

Sú vinnsla persónuupplýsinga á ábyrgð Lögheimtunnar ehf. og Landsbankans hf., sem fólst í því að láta færa upplýsingar um [A] á skrá Creditinfo Lánstrausts hf. um fjárhagsmálefni og lánstraust einstaklinga hinn 4. desember 2015, sem og því að því að viðhalda þeirri skráningu til […]. apríl 2016, samrýmdist ekki lögum nr. 77/2000.