Heimild Creditinfo Lánstrausts hf. til skráningar á vanskilaskrá

Mál nr. 2017/1122

5.3.2019

Úrskurður

Þann 14. febrúar 2019 var kveðinn upp svohljóðandi úrskurður í máli nr. 2017/1122:

I.

Málavextir og bréfaskipti

 

1.

Tildrög máls

Persónuvernd barst kvörtun frá [A] (hér eftir nefndur kvartandi) 15. ágúst 2017 vegna skráningar á vanskilaskrá Creditinfo Lánstrausts hf. Í kvörtuninni kemur meðal annars fram að kvartandi hafi verið skráður sem varamaður í stjórn tveggja félaga sem bæði hefðu verið úrskurðuð gjaldþrota. Kvartandi telur skráningu Creditinfo Lánstrausts hf. óheimila þar sem ekki hafi verið gerður greinarmunur á því hvort kvartandi væri varamaður eða stjórnarmaður við skráninguna. Kvartandi telur ótækt að leggja hlutverk og ábyrgð varamanna og stjórnarmanna að jöfnu og telur því framangreinda skráningu ekki rúmast innan starfsleyfis Creditinfo Lánstrausts hf., sem kveður á um heimild fyrirtækisins til að safna upplýsingum frá hlutafélagaskrá um stofnendur, stjórnarmenn og framkvæmdastjóra hlutafélaga og einkahlutafélaga, enda hafi þeir staðið að a.m.k. tveimur slíkum félögum sem úrskurðuð hafi verið gjaldþrota síðastliðin fjögur ár, sbr. 7. töluliðar 1. mgr. greinar 2.2.2. í starfsleyfi Creditinfo Lánstrausts hf. 

 

2.

Bréfaskipti

Með bréfi, dagsettu 19. febrúar 2018, veitti Persónuvernd Creditinfo Lánstrausti hf. færi á að tjá sig um framangreinda kvörtun. Svarað var með bréfi, dags. 6. mars 2018. Þar segir að starfsleyfi Creditinfo Lánstrausts hf. hafi um árabil heimilað félaginu að safna og miðla upplýsingum úr opinberum skrám, þ. á m. upplýsingum frá hlutafélagaskrá um stofnendur, stjórnarmenn og framkvæmdastjóra hlutafélaga og einkahlutafélaga sem úrskurðuð hafi verið gjaldþrota að ákveðnum skilyrðum uppfylltum. Þá segir að Creditinfo Lánstraust hf. hafi skráð umræddar upplýsingar á svokallaða rekstrarsöguskrá sem sé hluti af VOG vanskilaskrá (vanskil og opinberar gjörðir). Starfsleyfi Creditinfo Lánstrausts hf. frá 29. desember 2017 (mál nr. 2017/1541) sé efnislega samhljóða því starfsleyfi sem var í gildi þegar kvartandi lagði fram kvörtun sína til fyrirtækisins og síðar Persónuverndar, frá 28. febrúar 2017 (mál nr. 2016/1626). Í því hafi verið kveðið á um að fyrirtækið mætti meðal annars safna upplýsingum frá hlutafélagaskrá um stofnendur, stjórnarmenn og framkvæmdastjóra hlutafélaga og einkahlutafélaga, enda hafi þeir staðið að a.m.k. tveimur slíkum félögum sem úrskurðuð hafi verið gjaldþrota síðastliðin fjögur ár á undan, sbr. 7. tölulið 1. mgr. greinar 2.2.2. Þegar upplýsingar séu sóttar til hlutafélagaskrár komi fram hvaða aðilar skipi stjórn félagsins og séu þá taldir upp allir stjórnarmenn, stjórnarformaður, meðstjórnendur og varamenn.

Creditinfo Lánstraust hf. vísar í svarbréfi sínu til þess að í samræmi við starfsleyfið safni fyrirtækið upplýsingum frá hlutafélagaskrá um framkvæmdastjóra, stofnendur og stjórnarmenn hlutafélaga og einkahlutafélaga, hafi þeir staðið að, að minnsta kosti tveimur slíkum félögum, sem hafi verið úrskurðuð gjaldþrota á síðustu fjórum árum. Skráning hafi tekið til allra þeirra aðila sem skipi stjórn samkvæmt upptalningu hlutafélagaskrár. Fyrirtækið hafi unnið að skráningunni samkvæmt því sem að framan greini og telji það í samræmi við starfsleyfi fyrirtækisins sem heimili skráningu upplýsinga um stjórnir eins og þær birtist í hlutafélagskrá enda sé ekki sérstaklega tekið fram í starfsleyfinu að ákveðnar upplýsingar um stjórnir félaga séu undanskildar. Að framangreindu virtu telji fyrirtækið að því hafi verið heimilt að skrá nafn kvartanda á rekstrarsöguskrá þar sem hann hafi tengst tveimur félögum sem úrskurðuð hafi verið gjaldþrota síðustu fjögur ár á undan.

Með bréfi, dags. 11. maí 2018, var kvartanda veitt færir á að tjá sig um framangreint bréf Creditinfo Lánstrausts hf. Svarað var með bréfi, dags. 17. maí 2018. Þar er lögð áhersla á að ágreiningur málsins lúti að túlkun á hugtakinu stjórnarmaður í 7. tölulið 1. mgr. greinar 2.2.2. í starfsleyfi Creditinfo Lánstrausts hf., dags. 28. febrúar 2017, og þar með heimild fyrirtækisins til þess að skrá varamenn stjórnarmanna á sérstaka rekstrarsöguskrá. Kvartandi vísar til þess að hlutafélagaskrá sé opinber skrá og aðgengileg almenningi. Sé t.d. ætlunin að stofna einkahlutafélag beri að tilkynna til hlutafélagaskrár persónuupplýsingar um stofnendur félags, stjórnarmenn og varamenn þeirra, framkvæmdastjóra og alla þá sem hafi heimild til að rita félagið, svo og endurskoðendur eða skoðunarmenn, sbr. 4. tl. 1. mgr. 122. gr. laga nr. 138/1994, um einkahlutafélög. Í starfsleyfi Creditinfo Lánstrausts hf. sé fyrirtækinu veitt heimild til að safna upplýsingum um stofnendur, stjórnarmenn og framkvæmdastjóra að ákveðnum skilyrðum uppfylltum, en ekki sé fjallað um varamenn, endurskoðendur, skoðunarmenn, eða prókúruhafa.

Einnig er því mótmælt að skráning Creditinfo Lánstrausts hf. taki til allra þeirra sem skipa stjórn samkvæmt upptalningu hlutafélagaskrár. Eru mótmælin gerð á þeim grundvelli að áralöng framkvæmd fyrirtækis feli ekki í sér heimild til vinnslu persónuupplýsinga. Þannig er vísað til þess að lögmæti vinnslunnar verði ekki byggt á ólögmætri framkvæmd. Kvartandi mótmælir þeirri túlkun Creditinfo Lánstrausts hf. að fyrirtækinu sé heimilt að skrá upplýsingar um stjórn eins og þær birtast í hlutafélagaskrá, enda sé ekki sérstaklega tekið fram að ákveðnar upplýsingar um stjórn félagsins séu undanskildar. Telur kvartandi þá túlkun ekki í samræmi við 3. mgr. 8. gr. laga nr. 77/2000 og grunnreglur persónuverndar.

Þá leggur kvartandi áherslu á að samkvæmt lið 1.1 í fylgiskjali með tilvitnuðu starfsleyfi Creditinfo Lánstrausts hf. hafi verið ákveðið að byggja frekar á nákvæmri upptalningu á því hvaða upplýsingar megi skrá, frekar en að skráning yrði byggð á tilviksbundnu mati. Í því sambandi vísar kvartandi til tilgangs laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, og tengsla við grunnregluna um friðhelgi einkalífs í 71. gr. stjórnarskrárinnar. Að auki beri að túlka allan vafa um heimildir til skráningar og vinnslu kvartanda í hag, enda sé umrædd skráning íþyngjandi fyrir kvartanda. Hugtakið stjórnarmaður í starfsleyfi Creditinfo Lánstrausts hf. eigi því ekki að túlka rúmt þannig að varamenn eigi þar undir. Því til stuðnings vísar kvartandi til þess að ekki sé sjálfgefið að orðið stjórnarmaður eigi við um varamann, m.a. með vísan til 4. tl. 1. mgr. 148. gr. laga nr. 2/1995 um hlutafélög. Þá sé hlutverk stjórnarmanns og varamanns ólíkt, sem og ábyrgð þeirra. Af þeirri ástæðu séu rök Creditinfo Lánstrausts hf., um að tilvísun til stjórnarmanna í starfsleyfi fyrirtækisins feli jafnframt í sér tilvísun til varamanna, haldlaus. Fyrirtækið hafi því ekki heimild til að safna upplýsingum um varamenn, þar sem ekki sé minnst á hugtakið varamenn í fyrrnefndu starfsleyfi.

II.

Forsendur og niðurstaða

 

1.

Lagaskil og gildissvið persónuverndarlaga

Kvörtun málsins barst Persónuvernd 15. ágúst 2017, í gildistíð eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, og varðar skráningu kvartanda á vanskilaskrá Creditinfo Lánstrausts hf. Vísar fyrirtækið um heimild til skráningarinnar meðal annars til starfsleyfis fyrirtækisins, frá 29. desember 2017, og þess starfsleyfis sem gilt hafi þegar kvartandi hafi lagt fram kvörtun sína til fyrirtækisins og Persónuverndar, frá 28. febrúar 2017. Fyrrnefnda leyfið var með gildistíma til 31. desember 2018 og var síðan framlengt til 1. apríl 2019 með leyfi sem gefið var út 28. desember s.á.

Lög nr. 77/2000 voru leyst af hólmi með lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sem tóku gildi 15. júlí 2018. Þau lögfestu jafnframt reglugerð (ESB) 2016/679 um persónuvernd, eins og hún var aðlöguð og tekin upp í EES-samninginn. Um heimild Creditinfo Lánstrausts hf. til að skrá kvartanda á vanskilaskrá fyrirtækisins á sínum tíma gilda lög nr. 77/2000 en að því leyti sem skráningin er enn í gildi verður að leysa úr ágreiningi málsins á grundvelli núgildandi laga nr. 90/2018. Við úrlausn málsins verður því vísað til hvort tveggja, ákvæða þágildandi og núgildandi laga. Ekki voru gerðar neinar efnislegar breytingar með lögum nr. 90/2018 á þeim reglum sem gilda um efnið.

Gildissvið laga nr. 90/2018 og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laga nr. 77/2000.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, s.s. með tilvísun í auðkenni, eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti, sbr. 2. tölulið 3. gr. laga nr. 90/2018 og 1. tölulið 4. gr. reglugerðarinnar, sbr. og 1. tölulið 2. gr. laga nr. 77/2000.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, s.s. söfnun, skráningu, flokkun, kerfisbindingu, varðveislu, aðlögun eða breytingu, heimt, skoðun, notkun, miðlun með framsendingu, dreifingu eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samtengingu eða samkeyrslu, aðgangstakmörkun, eyðingu eða eyðileggingu, sbr. 4. tölulið 3. gr. laga nr. 90/2018 og 2. tölulið 4. gr. reglugerðarinnar, sbr. og 2. tölulið 2. gr. laga nr. 77/2000.

Mál þetta lýtur að heimild Creditinfo Lánstrausts hf. til vinnslu persónuupplýsinga um kvartanda sem felst í skráningu hans á vanskilaskrá fyrirtækisins. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölulið 4. gr. reglugerðarinnar, sbr. og sambærilegt ákvæði í 4. tölulið 2. gr. eldri laga nr. 77/2000. Eins og hér háttar til telst Creditinfo Lánstraust hf. vera ábyrgðaraðili að umræddri vinnslu.

2.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að byggja á einhverri þeirra heimilda sem greinir í 9. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. 1. mgr. 8. gr. eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Litið hefur verið svo á að vinnsla upplýsinga um fjárhagsmálefni og lánstraust hafi getað stuðst við heimild í 7. tölulið 1. mgr. 8. gr. laga nr. 77/2000, sem kvað á um að vinnsla persónuupplýsinga væri heimil væri hún nauðsynleg í þágu lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vægju þyngra. Sambærilegt ákvæði er í 6. tölulið 9. gr. laga nr. 90/2018.

Reglugerð nr. 246/2001, um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, var sett samkvæmt heimild í 2. mgr. 45. gr. laga nr. 77/2000. Sambærileg heimild er í 2. mgr. 15. gr. laga nr. 90/2018. Samkvæmt ákvæði II. til bráðabirgða í síðarnefndu lögunum skulu reglugerðir sem ráðherra hefur gefið út á grundvelli laga nr. 77/2000 halda gildi, fari þær ekki í bága við lög nr. 90/2018 og reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679. Samkvæmt 1. mgr. 2. gr. reglugerðar nr. 246/2001 er söfnun og skráning upplýsinga sem varða fjárhagsmálefni og lánstraust einstaklinga, í því skyni að miðla þeim til annarra, óheimil án leyfis Persónuverndar. Tekið er fram í 1. mgr. 3. gr. reglugerðarinnar að handhafa slíks leyfis, sem nefndur er fjárhagsupplýsingastofa, sé einungis heimilt að vinna með upplýsingar sem eðli sínu samkvæmt hafa afgerandi þýðingu við mat á fjárhag og lánstrausti hins skráða.

Creditinfo Lánstraust hf. hefur haft með höndum vinnslu persónuupplýsinga á grundvelli leyfa samkvæmt reglugerð nr. 246/2001. Þegar sú skráning var gerð sem deilt er um í máli þessu var í gildi slíkt leyfi til handa fyrirtækinu, frá 28. febrúar 2017. Líkt og fram hefur komið var nýtt leyfi gefið út 29. desember 2017 með gildistíma til 31. desember 2018 sem hefur verið framlengdur til 1. apríl 2019. Grein 2.2.2., um upplýsingar úr opinberum gögnum, er samhljóða í framangreindum starfsleyfum. Samkvæmt 7. tölulið 1. mgr. þeirrar greinar má starfsleyfishafi safna frá hlutafélagaskrá, úr skrám sem eru aðgengilegar almenningi, upplýsingum um stofnendur, stjórnarmenn og framkvæmdastjóra hlutafélaga og einkahlutafélaga, enda hafi þeir staðið að a.m.k. tveimur slíkum félögum sem úrskurðuð hafa verið gjaldþrota síðastliðin fjögur ár. Á grundvelli þessa ákvæðis kemur til skoðunar hvort Creditinfo Lánstrausti hf. sé heimilt að safna frá hlutafélagaskrá upplýsingum um varamenn í stjórnum félaga.

Í svarbréfi Creditinfo Lánstrausts hf. segir að þegar upplýsingar séu sóttar til hlutafélagaskrár, komi fram hverjir skipa stjórn tiltekins félags og hverjir séu varamenn. Er það í samræmi við 4. tölulið 1. mgr. 122. gr. laga nr. 138/1994, um einkahlutafélög, sem kveður á um að í tilkynningu til hlutafélagaskrár um stofnun einkahlutafélags skuli greina nöfn, kennitölu, heimilisföng stofnenda félags, stjórnarmanna og varamanna þeirra, framkvæmdastjóra og allra þeirra sem hafi heimild til að rita félagið, svo og endurskoðenda eða skoðunarmanna. Samkvæmt 4. tölulið 1. mgr. 148. gr. laga nr. 2/1995, um hlutafélög, skal einnig, í tilkynningu til hlutafélagaskrár um stofnun hlutafélags, greina nöfn, kennitölu og heimilisföng stofnenda félagsins, stjórnarmanna, framkvæmdastjóra og allra þeirra sem hafi heimild til að rita félagið, svo og nöfn, kennitölu og heimilisföng endurskoðenda eða skoðunarmanna. Sama gildir um varamenn.

Ljóst er af 7. tölulið 1. mgr. greinar 2.2.2. í starfsleyfi Creditinfo Lánstrausts hf. að þar er aðeins kveðið á um heimild til handa fyrirtækinu til að afla upplýsinga um stofnendur, stjórnarmenn og framkvæmdastjóra og tekur ákvæðið því, samkvæmt orðanna hljóðan, ekki til varamanna í stjórn eða annarra þeirra aðila sem vísað er til í framangreindum ákvæðum laga nr. 138/1994 og laga nr. 2/1995. Þar sem skráning á vanskilaskrá fyrirtækisins er íþyngjandi fyrir einstaklinga er að mati Persónuverndar eðlilegt að skýra ákvæði starfsleyfisins þar að lútandi þröngt.

Þá er að líta til þess að í framangreindu ákvæði greinar 2.2.2. er vísað til þess að viðkomandi einstaklingar hafi „staðið að“ a.m.k. tveimur hlutafélögum og/eða einkahlutafélögum sem úrskurðuð hafi verið gjaldþrota síðustu fjögur ár. Verður þá jafnframt að hafa til hliðsjónar framangreint ákvæði 1. mgr. 3. gr. reglugerðar nr. 246/2001 um að handhafa leyfis til vinnslu upplýsinga um fjárhagsmálefni og lánstraust einstaklinga sé einungis heimilt að vinna með upplýsingar sem eðli sínu samkvæmt hafa afgerandi þýðingu við mat á fjárhag og lánstrausti hins skráða.

Að framangreindum ákvæðum virtum, sem og í ljósi úrskurðar stjórnar Persónuverndar, dags. 20. desember 2017 í máli nr. 2017/1710, verður talið háð vafa að upplýsingar um stöðu einstaklings sem varamanns í stjórn félags séu áreiðanlegar upplýsingar um aðkomu viðkomandi að stjórn þess félags og þar með er vafasamt að þær hafi afgerandi þýðingu við mat á fjárhag og lánstrausti hins skráða. Er það því niðurstaða Persónuverndar að ákvæði 7. töluliðar 1. mgr. greinar 2.2.2. í starfsleyfum til handa Creditinfo Lánstrausti hf., frá 28. febrúar 2017 og 29. desember 2017, heimili fyrirtækinu ekki að safna úr hlutafélagaskrá upplýsingum um varamenn í stjórnum hlutafélaga og einkahlutafélaga sem ekki hafa tekið sæti sem stjórnarmenn og nota þær til að færa viðkomandi einstaklinga á vanskilaskrá fyrirtækisins. Creditinfo Lánstrausti hf. var því óheimilt að skrá kvartanda á þá skrá á framangreindum forsendum.

Ú r s k u r ð a r o r ð:

Creditinfo Lánstrausti hf. var ekki heimilt að safna úr hlutafélagaskrá upplýsingum um stöðu kvartanda sem varamanns í stjórn tveggja félaga sem úrskurðuð höfðu verið gjaldþrota á síðustu fjórum árum á undan og nota þær upplýsingar í því skyni að skrá kvartanda á vanskilaskrá fyrirtækisins.