Viðbrögð Creditinfo Lánstrausts við fyrirspurn um vöktun á vanskilaskrá

Mál nr. 2017/676

23.10.2018

Úrskurður

Á fundi stjórnar Persónuverndar þann 18. september 2018 var kveðinn upp svohljóðandi úrskurður í máli nr. 2017/676:

 

I.
Málsmeðferð

1.
Tildrög máls

Þann 3. júlí 2017 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi), vegna vinnslu persónuupplýsinga um hann hjá Creditinfo Lánstrausti hf. Í kvörtuninni segir m.a. að kennitala hans hafi verið vöktuð af lögmannsstofu frá árinu 1994 í kerfi Creditinfo, án hans vitundar. Einnig segir að vöktunin hafi haft mikil áhrif á lánshæfismat hans. Í ljósi þessa er kvörtunarefninu lýst svo:

„Að hægt er að halda einstaklingi inni á vöktunarlista ótímabundið sem svo aftur hefur áhrif á lánshæfismat hans hjá Creditinfo.“

 

2.
Bréfaskipti

Með bréfi, dags. 19. júlí 2017, var Creditinfo boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svar barst með bréfi, dags. 21. ágúst s.á., en þar segir m.a.:

„Margir áskrifendur hafa þann háttinn á, þ. á m. lögmenn og innheimtuaðilar, að fletta viðkomandi aðila upp í vanskilaskrá í upphafi viðskipta eða við upphaf innheimtu og setja í framhaldinu viðkomandi kennitölu í viðskiptamannavakt (vanskilavakt) og vakta kennitöluna á meðan að lögvarðir hagsmunir eru til staðar. Þegar slíkir hagsmunir eru ekki lengur til staðar, viðskiptasambandi lýkur eða krafa í innheimtu er að fullu greidd, ber áskrifanda að taka kennitölu viðkomandi úr viðskiptamannavakt (vanskilavaktinni).“

Einnig segir að áður en vöktun hefjist fái viðkomandi tilkynningu þess efnis senda frá Creditinfo. Þá segir:

„Ekki kemur fram í kvörtun kvartanda hvaða lögfræðistofa var með kennitölu hans á vöktun, en fram kemur að viðkomandi hafi verið vaktaður af stofunni frá árinu 1994. Creditinfo Lánstraust hf. var stofnað árið 1997 og því ljóst að kvartandi var ekki settur á vanskilavakt Creditinfo á árinu 1994.

Enginn innheimtuaðili hefur verið með kennitölu kvartanda skráða í viðskiptamannavakt (vanskilavakt) Creditinfo Lánstrausts hf. og hafa því vaktanir innheimtuaðila ekki áhrif á lánshæfismat kvartanda.“

Með bréfi, dags. 2. október 2017, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Creditinfo. Í símtali við starfsmann Persónuverndar þann 25. s.m. sagði kvartandi það ekki vera rétt sem fram kæmi í bréfi Creditinfo, dags. 21. ágúst s.á., um að kennitala hans hefði ekki verið vöktuð. Samdægurs framsendi kvartandi Persónuvernd tölvupóst með samskiptum milli hans og lögmannsstofunnar Lögmáls. Í tölvupóstsamskiptunum spyr kvartandi þann 19. apríl 2017 um ástæðu þess að lögmannsstofan vakti kennitölu hans í kerfi Creditinfo. Kvartanda barst svar samdægurs þar sem fram kemur að það sé væntanlega vegna kröfu sem var til innheimtu á lögmannsstofunni á árunum 1993 og 1994 og lauk með árangurslausu fjárnámi í nóvember 1994. Kvartandi spyr hvort enn sé tilefni til vöktunar vegna kröfunnar og er því svarað til að svo sé ekki og segir lögmannsstofan að hún muni óska eftir því að vöktuninni verði hætt.

Með hliðsjón af svörum kvartanda leitaði Persónuvernd með tölvupósti þann 17. nóvember 2017 eftir afstöðu kvartanda til þess hvort hann óskaði eftir því að beina kvörtun jafnframt að umræddri lögmannsstofu. Svar barst sama dag þar sem segir að hann óski þess að kvörtun beinist að vinnslu persónuupplýsinga hjá Creditinfo.

Með tölvupósti þann 30. nóvember 2017 óskaði Persónuvernd eftir frekari svörum frá Creditinfo. Nánar tiltekið var óskað eftir upplýsingum um hvort kennitala kvartanda hefði verið vöktuð á þeim tíma sem kvörtun barst Persónuvernd, þ.e. 3. júlí s.á., sem og 1. apríl s.á., þ.e. stuttu fyrir tölvupóstsamskipti kvartanda við umrædda lögmannsstofu. Þá var jafnframt óskað upplýsinga um hvort kvartandi hefði komið á framfæri athugasemdum við vöktun á kennitölu hans við Creditinfo. Svar barst með bréfi, dags. 11. desember 2017. Í svarbréfinu segir m.a. að fyrri svör Creditinfo hafi miðast við tímabilið frá því að kvörtun barst Persónuvernd þar til bréfi Persónuverndar var svarað, en á þeim tíma hafi enginn innheimtuaðili vaktað kennitölu kvartanda. Einnig segir að kennitala kvartanda hafi verið vöktuð af umræddri lögmannsstofu frá 13. febrúar til 21. apríl 2017 og að sú vöktun hafi haft áhrif á lánshæfismat kvartanda. Þá segir að eftir þetta hafi kennitala kvartanda verið tekin úr vöktun og þá hafi vöktun hætt að hafa áhrif á lánshæfismatið.

Einnig segir í svarbréfinu að þann 19. apríl s.á. hafi kvartandi haft samband við Creditinfo þar sem hann segir að kennitala hans sé vöktuð og spyr hvaða lög og reglur gildi um slíka vöktun. Með tölvupósti þann 12. febrúar 2018 óskaði Persónuvernd eftir afriti af þeim samskiptum milli kvartanda og Creditinfo. Svar Creditinfo með afriti af samskiptunum barst Persónuvernd samdægurs, en í fyrirspurn kvartanda til Creditinfo er gerð athugasemd við að hann hafi verið vaktaður af lögmannsstofu frá því 1994. Þá er spurt hvort það sé í lagi og hvaða lög og reglur gildi um persónuvernd í þessu sambandi.

Þann 21. apríl svaraði Creditinfo fyrirspurn kvartanda þar sem er farið almennt yfir heimildir til vöktunar á kennitölu í kerfi Creditinfo og honum bent á að hafa samband við lögmannsstofuna ef hann óski eftir frekari upplýsingum um viðskiptareikning sinn.

Með bréfi, dags. 2. mars 2018, ítrekuðu með bréfi, dags. 24. apríl s.á., var kvartanda veittur kostur á að koma á framfæri athugasemdum við framkomin svör Creditinfo. Svar barst með tölvupósti þann 3. maí s.á. þar sem kvartandi segir að hann hafi engar frekari athugasemdir við framkomin svör fyrirtækisins.

Með bréfi dags. 20. júlí 2018, var óskað frekari upplýsinga frá Creditinfo um hver væru skilyrði þess að kennitala einstaklings væri vöktuð í kerfi félagsins. Einnig var óskað upplýsinga um hvort einstaklingar hlytu fræðslu um vöktun á kennitölu sinni, sem gæti haft áhrif á lánshæfismat þeirra, og hvort kvartanda hefði verið veitt slík fræðsla. Með bréfi, dags. s.d., óskaði Persónuvernd upplýsinga frá Lögmáli ehf. um hvert verklagið væri við ákvörðun um vöktun á kennitölum í kerfi Creditinfo, þ. á m. á hvaða forsendum slík vöktun byggðist og hvort lögmannsstofan fræddi viðkomandi um vöktunina áður en hún hæfist.

Svar Creditinfo barst með bréfi, dags. 31. júlí 2018, en þar segir m.a. að lögvarðir hagsmunir þurfi að vera til staðar svo að heimilt sé að fletta upp og vakta kennitölu einstaklings í vanskilaskrá félagsins. Slíkir hagsmunir séu fyrir hendi þegar meta eigi lánshæfi eða greiðsluhæfi í tengslum við fyrirgreiðslu af einhverju tagi, s.s. vegna umsókna, fyrirhugaðra eða yfirstandandi láns- eða reikningsviðskipta eða vegna innheimtu ógreiddra krafna. Í svarbréfinu segir einnig að þann 7. mars 2017 hafi verið send tilkynning á lögheimili kvartanda þar sem fram hafi komið að Lögmál ehf. hefði flett upp kennitölu hans á vanskilaskrá vegna vöktunar á vanskilum og opinberum gjörðum.

Svar Lögmáls ehf. barst með bréfi, dags. 7. ágúst 2018, en þar segir m.a. að kennitölur séu ekki vaktaðar nema hlutlæg ástæða sé til að svo sé gert, annars vegar ef þær tengist kröfum sem séu í innheimtuferli og hins vegar ef þær tengist ógreiddum kröfum sem talið sé vonlítið eða vonlaust að innheimta. Vöktunin lúti að því að fylgjast með hvort skráningar viðkomandi á vanskilaskrá breytist, hvort sem það sé til hins verra eða hins betra. Þá segir að slík vöktun hafi raunhæft gildi við meðferð krafna sem stofan sé með til innheimtu, sérstaklega til að taka upplýsta ákvörðun um hvenær innheimtuaðgerðir skuli stöðvaðar og/eða hvernær þeim skuli fram haldið. Jafnframt segir að kennitölur sem tengist kröfum sem talið sé vonlítið eða vonlaust að innheimta séu teknar úr vöktun að liðnum tveimur árum eftir að vöktun hófst. Kennitölur sem tengist lifandi kröfum séu hins vegar í vöktun þar til þær séu greiddar. Að lokum segir að ekki sé send út tilkynning eða önnur aðvörun til skuldara um að kennitala hans kunni að verða vöktuð, enda hafi verið litið svo á að skuldari hljóti sjálfur að gera sér grein fyrir að meðan hann er með vanskilaskuld til innheimtu geti komið til slíkrar vöktunar. Slíkur texti sé nú í öllum kröfubréfum sem stofan sendi frá sér og sé því skuldurum gerð grein fyrir að upplýsinga verði aflað úr skrám Creditinfo og þeim gefið tilefni til að gera ráð fyrir uppflettingum og/eða vöktun á kennitölu þeirra.

Með tölvupósti til Creditinfo þann 11. september 2018 óskaði Persónuvernd eftir afriti af þeirri tilkynningu sem send var á lögheimili kvartanda þann 7. mars 2017. Tilkynningin barst með tölvupósti þann 12. s.m., en í tilkynningunni segir m.a. að Lögmál ehf. vakti kennitölu hans í kerfi Creditinfo og er honum leiðbeint um rétt sinn til leiðréttingar rangra upplýsinga.

 

II.
Forsendur og niðurstaða

1.
Lagaskil

Mál þetta varðar kvörtun sem barst Persónuvernd í júlí 2017 og lýtur að atvikum sem gerðust fyrir gildistöku núgildandi laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga þann 15. júlí 2018. Umfjöllun og efni þessa úrskurðar takmarkast því við ákvæði eldri laga, nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, en ekki er um efnislegar breytingar að ræða í lögum 90/2018 á þeim reglum laganna sem hér reynir á.

 

2.
Gildissvið laga nr. 77/2000

Lög nr. 77/2000 gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Í því máli sem hér um ræðir er annars vegar kvartað yfir vöktun á kennitölu kvartanda í vanskilaskrá fjárhagsupplýsingastofunnar Creditinfo og hins vegar áhrifum þeirrar vöktunar á skýrslu um lánshæfi kvartanda.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Líta ber svo á að hlutaðeigandi innheimtuaðilar beri ábyrgð á þeirri vinnslu sem felst í vöktun þeirra á skráningum sem tengjast tilteknum kennitölum í umræddri skrá. Creditinfo ber hins vegar ábyrgð á þeirri vinnslu sem felst í varðveislu skráninganna í upplýsingakerfi fyrirtækisins og því að gera þær aðgengilegar þar, þ. á m. með því að veita kost á vöktun kennitalna. Þá ber Creditinfo ábyrgð á þeirri vinnslu sem felst í því að nýta upplýsingar um slíka vöktun við gerð skýrslna um lánshæfismat. Þar sem ekki er kvartað yfir öðrum en Creditinfo í máli þessu tekur Persónuvernd ekki til úrlausnar álitaefni varðandi heimild hlutaðeigandi innheimtuaðila til að hefja vöktun á kennitölu kvartanda heldur einungis hvort Creditinfo hafi farið að skyldum sínum sem skrárhaldari skrár um fjárhagsmálefni og lánstraust.

 

3.
Starfsleyfi Creditinfo Lánstrausts hf.

Söfnun og skráning upplýsinga, sem varða fjárhagsmálefni og lánstraust einstaklinga, í því skyni að miðla þeim til annarra, þarf að byggjast á starfsleyfi Persónuverndar, sbr. 1. mgr. 2. gr. reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust sem sett er með stoð í 45. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Starfsemi Creditinfo sem fjárhagsupplýsingastofu fellur að miklu leyti undir framangreind ákvæði og hefur Persónuvernd veitt fyrirtækinu leyfi í samræmi við þau, sbr. leyfi, dags. 28. febrúar 2017 (mál nr. 2016/1626) sem í gildi var þegar málsatvik áttu sér stað og nú leyfi, dags. 29. desember 2017 (mál nr. 2017/1541), og bráðabirgðaleyfi vegna vinnslu persónuupplýsinga í þágu gerðar lánshæfismats, dags. 16. júlí 2018 (mál nr. 2018/1229).

Varðandi þá vinnslu, sem varðar áhrif umræddrar vöktunar á kennitölu kvartanda í vanskilaskrá Creditinfo á skýrslu um lánshæfismat hans, verður hins vegar að líta til 1. mgr. 1. gr. áðurnefndrar reglugerðar, en þar segir að hún taki ekki til starfsemi sem felst í útgáfu skýrslna um lánshæfi. Hér ræðir um slíka starfsemi og fellur hún samkvæmt þessu ekki undir umrædd leyfi. Hins vegar skal tekið fram að upplýsingar, sem unnið er með á grundvelli starfsleyfanna má ekki nýta í þágu starfsemi, sem fellur utan gildissviðs þeirra, nema það fái samrýmst gildandi lögum og að því gefnu að einstök leyfisákvæði standi því ekki í vegi.

 

4.
Vinnsla í tengslum við kennitöluvöktun

Svo að vinna megi með persónuupplýsingar verður ávallt að vera fullnægt kröfum einhvers af heimildarákvæðum 8. gr. laga nr. 77/2000. Hefur verið litið svo á að vinnsla upplýsinga um fjárhagsmálefni og lánstraust einstaklinga geti m.a. átt sér stoð í 7. tölul. 1. mgr. þeirrar greinar, þ.e. á þeim grundvelli að vinnsla sé nauðsynleg í þágu lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.

Einnig verður, eins og ávallt þegar unnið er með persónuupplýsingar, að fara að öllum grunnkröfum 7. gr. laga nr. 77/2000, þ. á m. um að persónuupplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti slíkra upplýsinga (1. tölul.); að þær skulu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skulu vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem eru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.).

Að auki er til þess að líta að miðlun upplýsinga úr vanskilaskrá Creditinfo verður að samrýmast 6. gr. reglugerðar nr. 246/2001, en í 1. mgr. þeirrar greinar kemur meðal annars fram að upplýsingar úr slíkri skrá má láta öðrum í té skriflega eða með netlínutengingu við sem geri áskrifendum kleift að fletta upp einstaklingum einum í einu. Þá segir að Persónuvernd tilgreini nánar í starfsleyfi með hvaða hætti fjárhagsupplýsingastofu sé heimilt að láta frá sér upplýsingar. Í grein 2.3 í fyrrgreindu leyfi stofnunarinnar til Creditinfo, dags. 28. febrúar 2017, sbr. sömu grein í gildandi leyfi, dags. 29. desember s.á., eru efnisatriði 6. gr. reglugerðarinnar varðandi aðferð við miðlun meðal annars áréttuð.

Ekki er í framangreindum ákvæðum sérstaklega fjallað um þá aðstöðu að fjárhagsupplýsingastofa veiti kost á vöktun á tilteknum kennitölum þegar veittur er aðgangur að skrá um fjárhagsmálefni og lánstraust einstaklinga. Eins og háttar til í máli þessu var um að ræða slíka vöktun af hálfu innheimtuaðila. Ber að telja að slíkir aðilar geti haft lögmæta hagsmuni af því að vakta vanskilaskráningar sem tengjast tilteknum kennitölum þegar þeir fara með innheimtumál þar sem upplýsingar um slíkar skráningar geta haft gildi. Í samræmi við það ber jafnframt að telja að sú vinnsla Creditinfo, sem felst í því að veita kost á slíkri vöktun, geti fallið undir fyrrnefnda vinnsluheimild 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

Leggja ber til grundvallar að við þá vinnslu sem í framangreindu felst geti Creditinfo ekki borið ábyrgð á því hvort ákvörðun innheimtuaðila um að hefja vöktun hafi byggst á fullnægjandi rökum. Berist fyrirtækinu vísbendingar um að svo hafi ekki verið ber því hins vegar, á grundvelli kröfu 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000 um vandaða vinnsluhætti, að bregðast við á viðeigandi hátt, s.s. með hækkun á áskriftargjaldi viðkomandi áskrifanda eða uppsögn á samningi við hann, sbr. nánar 2. mgr. greinar 2.9 í áðurnefndum leyfum til Creditinfo, reynist viðkomandi vísbending á rökum reist. Fyrir liggur að kvartandi lét þess getið í fyrirspurn sinni til Creditinfo hinn 19. apríl 2017 að tiltekinn aðili hefði vaktað kennitölu hans hjá fyrirtækinu síðan 1994. Ljóst er að það gat ekki staðist þar sem það var ekki stofnað fyrr en árið 1997. Engu að síður gaf hið uppgefna ártal fyrirtækinu tilefni til könnunar á því hvort um ræddi vöktun á lögmætum forsendum, enda mátti gera ráð fyrir að eitthvað byggi því að baki að ártalið væri nefnt, t.d. að vöktun hefði hafist vegna svo gamallar kröfu að alla jafna mætti ætla að hún væri ekki til meðferðar hjá innheimtuaðila.

Þar sem könnun samkvæmt framangreindu fór ekki fram telur telur Persónuvernd ekki hafa verið farið að umræddri kröfu um vandaða vinnsluhætti hjá Creditinfo að fenginni umræddri fyrirspurn kvartanda af tilefni vöktunar á kennitölu hans.

 

5.
Áhrif vöktunar á lánshæfismat

Hér reynir jafnframt á hvort Creditinfo sé heimilt að varðveita og nýta upplýsingar um vöktun á breytingum sem verða á kennitölu kvartanda í vanskilaskrá Creditinfo við gerð skýrslna um lánshæfismat. Í því sambandi ber að líta til fyrrnefnds ákvæðis 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 um heimild til vinnslu persónuupplýsinga á grundvelli lögmætra hagsmuna sem vega þyngra en grundvallarréttindi og frelsi hins skráða. Þá ber að líta til þess að skýrslum um lánshæfi er ætlað að nýtast við lánshæfismat á grundvelli laga nr. 33/2013 um neytendalán. Samkvæmt 2. mgr. 10. gr. þeirra laga skal lánveitandi, áður en samningur um neytendalán er gerður, meta lánshæfi neytanda. Samkvæmt i-lið 5. gr. laganna er þar um að ræða mat lánveitanda á lánshæfi lántaka byggt á upplýsingum sem eru til þess fallnar að veita áreiðanlegar upplýsingar um líkindi þess hvort lántaki geti efnt lánssamning. Lánshæfismat skuli byggt á viðskiptasögu aðila á milli og/eða upplýsingum úr gagnagrunnum um fjárhagsmálefni og lánstraust.

Þegar litið er til framangreinds telur Persónuvernd það hafa samrýmst lögum nr. 77/2000 að umrædd vöktun innheimtuaðila á kennitölu kvartanda hafði áhrif á niðurstöðu skýrslu um lánshæfi hans tímabilið 13. febrúar til 19. apríl 2017, þ.e. fram að því að hann sendi þá fyrirspurn sína sem fjallað er um í 4. kafla hér að framan. Eins og þar greinir nánar telur Persónuvernd fyrirspurnina hafa gefið Creditinfo tilefni til könnunar á því hvort um ræddi vöktun á lögmætum forsendum, auk þess sem fram kemur að slík könnun fór ekki fram. Jafnframt ber hins vegar að telja eðlilegt að gera ráð fyrir að nokkrir dagar geti liðið áður en slík könnun hefst. Þá er til þess að líta að vöktuninni var hætt tveimur dögum eftir að fyrirspurn kvartanda barst. Telur Persónuvernd í ljósi framangreinds, að þótt vöktunin hefði áhrif á skýrslu um lánshæfismat kvartanda dagana 20. og 21. apríl 2017, hafi það ekki farið í bága við lög nr. 77/2000.

 

 

Ú r s k u r ð a r o r ð:

 

Creditinfo Lánstrausti  hf. bar að kanna hvort vöktun lögmannsstofunnar Lögmáls á kennitölu [A] í vanskilaskrá fyrirtækisins hvíldi á lögmætum forsendum í samræmi við lög nr. 77/2000 og reglugerð nr. 246/2001. Notkun Creditinfo Lánstrausts hf. á upplýsingum um vöktunina samrýmdist lögum 77/2000.