Úrskurður vegna miðlunar LÍN um fyrndar kröfur í skuldastöðukerfi

Mál nr. 2016/1493

21.12.2017

Úrskurður

 

Á fundi stjórnar Persónuverndar þann 20. nóvember 2017 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/1493:

 

I.
Málsmeðferð

 

1.
Tildrög máls

Þann 17. október 2016 barst Persónuvernd kvörtun frá Atlas lögmönnum f.h. [A] (hér eftir nefndur kvartandi) yfir miðlun þriggja krafna Lánasjóðs íslenskra námsmanna (LÍN) á hendur kvartanda um skuldastöðukerfi Creditinfo Lánstrausts hf. (Creditinfo).

Í kvörtuninni segir m.a. að skráningin hafi ekki fengist leiðrétt þrátt fyrir kröfu þar að lútandi. Kvartandi telji kröfurnar fyrndar, en LÍN reki dómsmál gegn honum þar sem tekist sé á um fyrninguna og hafi kvartandi tekið til varna í málinu og þannig andmælt skuldinni. Um sé að ræða umdeildar skuldir, en grein 2.1 í starfsleyfi Creditinfo leggi bann við vinnslu upplýsinga um slíkar kröfur. Slík vinnsla samrýmist heldur ekki lögum um persónuvernd og meðferð persónuupplýsinga, nr. 77/2000. Ekki þurfi að fjölyrða um hagsmuni kvartanda af því að fá skráninguna leiðrétta, enda sé skuldastöðuyfirlit Creditinfo mikið notað þegar leitað sé eftir þjónustu eða fyrirgreiðslu.

Þá segir í kvörtun að lögmaður kvartanda hafi skorað á LÍN að draga hina ólögmætu skráningu til baka. Afrit af því bréfi hafi verið sent Creditinfo. Engin viðbrögð hafi fengist við bréfinu.

 

2.
Bréfaskipti við Lánasjóð íslenskra námsmanna

Með bréfi, dags. 16. nóvember 2016, var Lánasjóði íslenskra námsmanna boðið að koma á framfæri skýringum vegna kvörtunarinnar. Var sérstaklega óskað eftir að fram kæmi hvort lánasjóðurinn teldi umræddar skuldir vera umdeildar í skilningi 3. mgr. greinar 2.1 í starfsleyfi Creditinfo Lánstrausts hf. Þá var óskað upplýsinga um þá heimild í 1. mgr. 8. gr. laga nr. 77/2000, sem miðlun upplýsinganna til Creditinfo væri studd við, og hvernig hún samrýmdist 7. gr. laganna, sbr. einkum 4. tölul. 1. mgr. ákvæðisins.

Í svarbréfi LÍN, dags. 10. janúar 2017, segir að miðlun LÍN á upplýsingum í skuldastöðukerfi Creditinfo styðjist við 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Skuld kvartanda sé tilkomin vegna námslána sem hann hafi tekið hjá sjóðnum og ekki sé deilt um uppruna kröfunnar. Krafan sé löggild með beinni aðfararheimild, sbr. 3. mgr. 9. gr. laga nr. 21/1992, um Lánasjóð íslenskra námsmanna. Kvartandi hafi orðið gjaldþrota með úrskurði Héraðsdóms Reykjavíkur [...] 2013. Skiptum á búinu hafi lokið 20. janúar 2014. Samkvæmt 165. gr. laga nr. 21/1991 um gjaldþrotaskipti o.fl. fyrnist kröfur á hendur gjaldþrota aðila tveimur árum eftir skiptalok ef kröfuhafi geti ekki höfðað mál til slita á fyrningu fyrir lok frestsins. Stefna hafi verið gefin út á hendur kvartanda til viðurkenningar slita á fyrningu og hafi hún verið þingfest 19. janúar 2016. Kvartandi hafi gripið til varna í málinu og sé það til meðferðar í Héraðsdómi Reykjavíkur.

Hvað varðar 4. tölul. 1. mgr. 7. gr. laga nr. 77/2000 segir í bréfinu að í máli kvartanda sé ekki um að ræða úreltar eða rangar upplýsingar. Uppruni kröfunnar sé skýr og krafan geti ekki orðið umdeild við það eitt að henni sé mótmælt. Þá hafi Lánasjóður íslenskra námsmanna rofið fyrningu með því að höfða mál. Verði niðurstaða héraðsdóms á þann veg að krafan teljist fyrnd verði miðlun upplýsinga í skuldastöðukerfi Creditinfo stöðvuð. Á meðan niðurstaða liggi ekki fyrir þyki þó ekki rétt að afmá skráðar upplýsingar hjá Creditinfo þar sem upplýsingarnar varði mikilvæga hagsmuni sjóðsins.

Persónuvernd barst jafnframt bréf LÍN, dags. 17. nóvember 2017, þar sem áréttuð eru sjónarmið sem rakin voru í fyrri athugasemdum lánasjóðsins. Er þar ítrekað að fyrning hafi verið rofin með málshöfðun 19. janúar 2016. Málið verði tekið fyrir í héraðsdómi [...] 2017. Hvorki sé vafi um uppruna né skýrleika krafnanna. Á meðan ekki liggi fyrir niðurstaða dómstóla telji LÍN sér bæði heimilt og skylt að miðla upplýsingum um þær í skuldastöðukerfi Creditinfo.

 

3.
Bréfaskipti við Creditinfo Lánstraust hf.

Með bréfi, dags. 16. nóvember 2016, var Creditinfo Lánstrausti hf. boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Var sérstaklega óskað eftir að fram kæmi hvort Creditinfo teldi umræddar skuldir vera umdeildar í skilningi 3. mgr. greinar 2.1 í starfsleyfi fyrirtækisins. Þá var óskað upplýsinga um þá heimild í 1. mgr. 8. gr. laga nr. 77/2000, sem skráning upplýsinganna í skuldastöðukerfi Creditinfo væri studd við.

Í svarbréfi Creditinfo Lánstrausts hf., dags. 1. desember 2016, segir að skuldastöðukerfi fyrirtækisins innihaldi upplýsingar um skuldir og ábyrgðir einstaklinga og fyrirtækja, sem byggðar séu á gögnum frá lánveitendum eða þeim aðilum sem séu aðilar að skuldastöðukerfinu. Tilgangur kerfisins sé að gera fjármálafyrirtækjum kleift að sjá skuldastöðu viðskiptavina sinna vegna nýrra lánveitinga svo og að veita einstaklingum aðgang að yfirliti yfir skuldbindingar sínar á einum stað. Þegar fyrirspurn sé send inn í kerfið sé staða lána og ábyrgða sótt til þátttakenda og þeirri stöðu miðlað áfram til fyrirspyrjanda. Ekki sé því um að ræða skráningu á upplýsingum í kerfið. Fyrirspurn verði eigi gerð nema með upplýstu og sannanlegu samþykki þess aðila er fyrirspurn varðar og styðjist vinnslan því við heimild í 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

Í bréfinu er vísað til þess að telja megi að fjármálastofnun sé heimilt, á grundvelli 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, að miðla upplýsingum í skuldastöðukerfi Creditinfo Lánstrausts hf. Þeirri fjármálastofnun skuli þó hafa borist beiðni viðkomandi einstaklings um uppflettingu, auk þess sem miðlunin verði að samrýmast grunnreglum 1. mgr. 7. gr. laganna, þar á meðal 3. tölul. ákvæðisins um að við vinnslu persónuupplýsinga skuli þess gætt að upplýsingarnar séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar. Af þessu ákvæði leiði að fjármálastofnun sem miðli upplýsingum inn í skuldastöðukerfið, hér Lánasjóði íslenskra námsmanna, beri að gæta þess að um sé að ræða gildar kröfur. Ekki hafi annað komið fram í málinu en að kvartandi hafi veitt upplýst og sannanlegt samþykki sitt fyrir upplýsingaöflun í skuldastöðukerfinu.

 

4.
Athugasemdir kvartanda

Með bréfi, dags. 24. ágúst 2017, ítrekuðu 15. september s.á., var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Lánasjóðs íslenskra námsmanna og Creditinfo Lánstraust hf.

Í svarbréfi Atlas lögmanna f.h. kvartanda, sem barst Persónuvernd 20. september 2017, segir að Creditinfo virðist telja að grein 2.1 í starfsleyfi fyrirtækisins um bann við vinnslu upplýsinga um umdeildar kröfur eigi ekki við og að ábyrgðin af því að miðla röngum og ólögmætum upplýsingum sé alfarið hjá LÍN. Þetta sé rangt, enda gegni Creditinfo lykilhlutverki í dreifingu á hinum röngu og ólögmætu upplýsingum um kvartanda og hafi fyrirtækið verið upplýst um það á árinu 2016 að upplýsingarnar væru rangar. Þá sé það rangt að vinnslan byggist á upplýstu og sannanlegu samþykki kvartanda, en hann hafi aldrei gefið samþykki fyrir því að LÍN mætti, með aðstoð Creditinfo, miðla og dreifa röngum upplýsingum um hann. Vísað er til þess að í bréfi Creditinfo hafi komið fram að það væri á ábyrgð LÍN, sem miðli upplýsingum inn í skuldastöðukerfið, að um væri að ræða gildar kröfur. Fallast megi á það að ákveðnu leyti, en í þessu máli eigi það hins vegar ekki við. Eðli máls samkvæmt geti Creditinfo ekki kannað gildi hverrar kröfu sem berist inn í skuldastöðukerfið, en þegar fyrirtækið hafi fengið upplýsingar um að krafa sé röng eða umdeild geti það ekki firrt sig ábyrgð. Í tilviki kvartanda hafi Creditinfo fengið tilkynningu þar að lútandi með afriti af bréfi kvartanda til LÍN, dags. 30. september 2016.

Í fyrrnefndu svarbréfi Atlas lögmanna f.h. kvartanda segir jafnframt að í svarbréfi LÍN komi fram sá grundvallarmisskilningur að þær kröfur sem um ræðir teljist ekki fyrndar í dag. Hið rétta sé að ákvæði 3. mgr. 165. gr. laga nr. 21/1991 geri ráð fyrir því að fyrningu sé slitið með því að mál sé höfðað innan fyrningarfrests og að fenginn sé dómur um viðurkenningu á fyrningarslitum. Þá skipti kannski mestu að umrætt ákvæði setji mjög þröng skilyrði fyrir því að rjúfa megi fyrningu eftir gjaldþrotaskipti. Þar komi fram að slíka viðurkenningu skuli því aðeins veita með dómi að kröfuhafi sýni fram á að hann hafi sérstaka hagsmuni af því að slíta aftur fyrningu, svo og að líkur megi telja á að fullnusta geti fengist á kröfu hans á nýjum fyrningartíma.

Þetta þýði að vinnsla LÍN á upplýsingum um hinar fyrndu kröfur á hendur kvartanda feli í sér miðlun á röngum persónuupplýsingum um hann, sem gangi gegn grundvallarreglum um gæði gagna og vinnslu persónuupplýsinga. Hin þröngu skilyrði sem komi fram í 3. mgr. 165. gr. laga nr. 21/1991 um rof á fyrningu eigi ekki við kröfur LÍN á hendur kvartanda, en LÍN hafi staðið í málarekstri gegn fjölda fólks í svipaðri stöðu og tapað öllum málunum. Máli kvartanda sé ekki lokið, en engin ástæða sé til að ætla að því ljúki með öðrum hætti en öllum hinum.

Að lokum segir í fyrrnefndu svarbréfi að miðlun Creditinfo og LÍN á upplýsingum um umræddar kröfur hafi valdi kvartanda miklum óþægindum. Hann hafi fengið neitun um minniháttar fyrirgreiðslu í viðskiptabanka sínum vegna þess að hann sé á „svarta listanum“. Honum hafi jafnframt verið neitað um þjónustu í öðrum banka af sömu ástæðu.

 

II.
Forsendur og niðurstaða

 

1.
Gildissvið laga nr. 77/2000

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Lánasjóður íslenskra námsmanna vera ábyrgðaraðili að þeirri vinnslu, sem felst í miðlun upplýsinga um kröfur sjóðsins á hendur kvartanda í skuldastöðukerfi Creditinfo.

 

2.
Lögmæti vinnslu

Svo að vinnsla persónuupplýsinga sé heimil verður ávallt að vera fullnægt einhverju af skilyrðum 1. mgr. 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Það ákvæði laganna, sem hér kemur einkum til álita, er 7. tölul. þeirrar málsgreinar, þess efnis að vinnsla persónuupplýsinga teljist heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra.

Í ljósi þessa ákvæðis má telja fjármálastofnunum heimilt að miðla upplýsingum í skuldastöðukerfi Creditinfo svo að þær megi gera aðgengilegar annarri fjármálastofnun sem hefur til meðferðar umsókn einstaklings um fyrirgreiðslu. Þeirri fjármálastofnun skal þó hafa borist beiðni viðkomandi einstaklings um uppflettingu, en auk þess verður vinnsla upplýsinganna að samrýmast grunnreglum 1. mgr. 7. gr. laga nr. 77/2000, þ. á. m. 3. tölul. um að við vinnslu persónuupplýsinga skuli þess gætt að upplýsingarnar séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar. Það ákvæði hefur í för með sér að fjármálastofnun, sem miðlar upplýsingum í umrætt kerfi, ber að gæta þess að um sé að ræða gildar kröfur, en upplýsingum um fyrndar kröfur á því ekki að miðla.

Tekið skal fram í þessu sambandi hvað varðar Creditinfo að þar sem ekki ræðir um upplýsingar sem vistast hjá fyrirtækinu, þannig að því sé kleift að hafa áhrif á efni þeirra eða eyða þeim, getur það ekki borið ábyrgð á að þær verði aðgengilegar í kerfinu fyrir tilverknað fjármálastofnana, en í samræmi við það hefur banni við vinnslu fyrirtækisins á upplýsingum um umdeildar kröfur í leyfum, sem heimila því starfrækslu skráar um fjárhagsmálefni og lánstraust einstaklinga, ekki verið ætlað að ná til kerfisins, sbr. og nú 3. mgr. greinar 2.1 í gildandi leyfi, dags. 28. febrúar 2017 (mál nr. 2016/1626). Þegar litið er til þess, sem og fyrrnefnds ákvæðis 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, telur Persónuvernd ekki fram komið að Creditinfo hafi unnið með upplýsingar um kvartanda á þann veg að brotið hafi verið gegn lögunum.

Hvað varðar LÍN vísast hins vegar til þess að kvartandi varð gjaldþrota með úrskurði Héraðsdóms Reykjavíkur [...] 2013. Skiptum á búinu lauk 20. janúar 2014. Samkvæmt 2. mgr. 165. gr. laga nr. 21/1991 um gjaldþrotaskipti o.fl., sbr. lög nr. 142/2010, fyrnast kröfur á tveimur árum frá því að gjaldþrotaskiptum lýkur. Samkvæmt 1. málsl. 3. mgr. 165. gr. sömu laga verður fyrningunni aðeins slitið á ný með því að kröfuhafi höfði innan fyrningarfrests mál á hendur þrotamanninum og fái þar dóm um viðurkenningu á fyrningarslitum gagnvart honum. Fyrir liggur að LÍN höfðaði mál á hendur kvartanda innan fyrningarfrestsins, en niðurstaða í því máli liggur þó ekki fyrir og er skilyrðið um dóm um viðurkenningu á fyrningarslitum því ekki uppfyllt. Verður því að líta svo á að um sé að ræða fyrndar kröfur. Af því leiðir að miðlun LÍN á upplýsingum um kröfurnar í umrætt skuldastöðukerfi stríðir gegn fyrrgreindu ákvæði 3. tölul. 1. mgr. 7. gr. laga nr. 77/2000.

Með vísan til framangreinds, sbr. og 1. mgr. 40. gr. laga nr. 77/2000, beinir Persónuvernd þeim fyrirmælum til Lánasjóðs íslenskra námsmanna að koma í veg fyrir miðlun upplýsinga um þær skuldir, sem kvörtun þessi tekur til, í skuldastöðukerfi Creditinfo á meðan ekki liggur fyrir dómur um viðurkenningu á fyrningarslitum, sbr. framangreint. Skal staðfesting á því að orðið hafi verið við þessum fyrirmælum hafa borist Persónuvernd eigi síðar en 15. desember 2017.

Meðferð máls þessa hefur dregist vegna anna hjá Persónuvernd.

 

Ú r s k u r ð a r o r ð:

 

Lánasjóði íslenskra námsmanna var óheimilt að miðla upplýsingum um fyrndar kröfur á hendur kvartanda í skuldastöðukerfi Creditinfo Lánstrausts hf. Lánasjóðurinn skal, eigi síðar en 15. desember 2017, senda Persónuvernd skriflega staðfestingu á því að komið hafi verið í veg fyrir frekari miðlun upplýsinganna í kerfið.