Vinnsla persónuupplýsinga af hálfu Gallup

Mál nr. 2021102040

23.11.2022

Úrskurður

um kvörtun yfir vinnslu persónuupplýsinga af hálfu GI rannsókna ehf. í máli nr. 2021102040:

I.
Málsmeðferð

Hinn 20. október 2021 bárust Persónuvernd kvartanir [A] (hér eftir kvartandi), dags. 17. og 31. mars 2021, yfir vinnslu persónuupplýsinga um hann af hálfu GI rannsókna ehf. (hér eftir Gallup) en kvartanirnar voru framsendar frá Fjarskiptastofu. Nánar tiltekið lutu báðar kvartanirnar að því að Gallup hefði vistað símanúmer kvartanda í símanúmeragrunni fyrirtækisins í þeim tilgangi að nota það í tengslum við úthringingar vegna boðs um þátttöku í könnunum á vegum Gallup.

Persónuvernd bauð Gallup að tjá sig um kvörtunina með bréfi, dags. 4. maí 2022, og bárust svör fyrirtækisins með bréfi, dags. 3. júní s.á. Persónuvernd óskaði eftir frekari skýringum frá Gallup með bréfi, dags. 24. s.m., og bárust ítarlegri svör fyrirtækisins með tölvupósti þann 14. júlí s.á. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör Gallup með bréfi, dags. 15. júlí s.á., og bárust þær með tölvupósti, þann 12. ágúst s.á. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

___________________

Ágreiningur er um heimild Gallup til þess að vista símanúmer kvartanda í símanúmeragrunni fyrirtækisins í þeim tilgangi að nota það í tengslum við úthringingar vegna boðs um þátttöku í könnunum. Kvartandi beindi kvörtunum sínum upphaflega til Fjarskiptastofu vegna óumbeðinna fjarskipta. Fjarskiptastofa framsendi kvartanirnar hins vegar til Persónuverndar í samræmi við 2. mgr. 7. gr. stjórnsýslulaga, nr. 37/1993, þar sem stofnunin taldi umrædd símtöl Gallup ekki uppfylla skilyrði 46. gr. þágildandi fjarskiptalaga, nr. 81/2003, um að vera liður í markaðssetningu og því væri ekki um óumbeðna fjarskiptasendingu að ræða sem Fjarskiptastofa hefur eftirlit með.

Kvartandi byggir á því að Gallup hafi verið óheimilt að bæta símanúmeri hans við símanúmeragrunn fyrirtækisins þann 3. febrúar 2013, með uppflettingu á vefsíðunni www.ja.is. Kvartandi vísar til þess að hann hafi ekki samþykkt vinnsluna, auk þess sem símanúmer hans hafi verið bannmerkt í símaskrá og því hefði verið rétt að ganga úr skugga um að hann væri skráningunni samþykkur. Þá hafi Gallup ekki upplýst hann um skráninguna eða tilgang vinnslunnar líkt og fyrirtækinu hafi borið að gera.

Gallup byggir á því að umrædd vinnsla persónuupplýsinga sé nauðsynleg vegna lögmætra hagsmuna fyrirtækisins. Vísað er til þess að Gallup sé rannsóknar- og upplýsingafyrirtæki sem hafi um árabil verið leiðandi í mælingum á viðhorfi íslensku þjóðarinnar til fjölbreyttra málefna. Fyrirtækið byggi starfsemi sína á rannsóknum og þurfi að halda uppi ákveðnum gæðaviðmiðum til að tryggja áreiðanleika í rannsóknum sínum. Gæði úrtaks og þátttökuhlutfall sé grundvöllur rannsókna og því geri fyrirtækið allt sem það geti til að tryggja að allir fullorðnir landsmenn eigi jafna möguleika á að svara könnunum í þjóðskrárúrtaki. Gallup byggir á því að símanúmeragrunnur fyrirtækisins stuðli að auknum gæðum rannsókna og þátttökuhlutfalls þar sem þjóðskrárúrtak sé keyrt saman við grunninn þannig að ekki þurfi endurtekið að leita að símanúmerum þátttakenda könnunar í hvert skipti enda væri það mikil vinna og tímafrek. Slíkt myndi að mati fyrirtækisins hafa mjög neikvæð áhrif á gæði rannsókna þar sem óvinnandi vegur væri að fletta öllum númerum upp fyrir hverja einustu könnun og fyrirtækið hefði þar með ekki jafn góðar úrtaksupplýsingar. Auk þess nýti Gallup símanúmeragrunninn til þess að halda utan um upplýsingar yfir þá einstaklinga sem vilji ekki láta bjóða sér þátttöku í rannsóknum fyrirtækisins og séu þeir einstaklingar þá bannmerktir í símanúmeragrunninum. Gallup vísar einnig til þess að það sé mat fyrirtækisins að skráning í símanúmeragrunninn hafi ekki teljandi óhag í för með sér fyrir einstaklinga. Gallup myndi eftir sem áður fletta upp númerum og hafa samband við þá einstaklinga sem væru með skráð númer í þeim tilgangi að framkvæma rannsóknir. Fyrirtækið geti ekki vitað hvort einstaklingur, sem ekki er á bannskrá Þjóðskrár, vilji taka þátt í rannsókn fyrr en búið er að hafa samband við hann og auðvelt sé að koma því til skila vilji einstaklingur ekki að haft sé samband framvegis. Hagsmunir Gallup af því að halda utan um upplýsingar í símanúmeragrunninum vegi því þyngra en hagsmunir einstaklinga af því að vera ekki skráðir í grunninn. Jafnframt áréttar Gallup að upplýsingar úr símanúmeragrunni fyrirtækisins séu einungis nýttar í þeim tilgangi að hafa samband við þá einstaklinga sem lenda í þjóðskrárúrtökum í rannsóknum Gallup og að upplýst sé um vinnsluna í persónuverndarstefnu fyrirtækisins.

II.
Niðurstaða
1.
Lögmæti vinnslu

Mál þetta lýtur að vinnslu persónuupplýsinga um kvartanda sem felst í því að símanúmer hans hafi verið vistað í símanúmeragrunn Gallup. Fyrir liggur að símanúmer kvartanda var skráð í símanúmeragrunninn þann 3. febrúar 2013, eða í gildistíð eldri laga um persónuvernd og meðferð persónuupplýsinga nr. 77/2000. Þar sem kvörtun þessi beinist hins vegar að ástandi sem enn er til staðar, þ.e. símanúmer kvartanda er enn vistað í símanúmeragrunni Gallup, verður leyst úr málinu á grundvelli laga nr. 90/2018. Samkvæmt framansögðu varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. GI rannsóknir ehf. (Gallup) teljast vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679. 

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, einkum þegar hinn skráði er barn, sbr. 6. tölul. lagaákvæðisins og f-lið reglugerðarákvæðisins. Eins og hér háttar til verður að mati Persónuverndar ekki séð að aðrar vinnsluheimildir samkvæmt fyrrgreindu ákvæði geti komið til greina.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins.

Í starfsemi Gallup felst fyrst og fremst framkvæmd markaðs- og mannauðsrannsókna og viðhorfskannana. Fallast verður á það með Gallup að ef fletta þyrfti upp símanúmerum hvers og eins einstaklings í þjóðskrárúrtaki fyrir hverja könnun hefði það í för með sér mikla og tímafreka vinnu og gæti haft í för með sér neikvæð áhrif á gæði rannsókna. Auk þess nýtir Gallup símanúmeragrunninn til þess að halda utan um þá einstaklinga sem hafa lýst því yfir við starfsfólk fyrirtækisins að þeir vilji ekki framvegis láta bjóða sér þátttöku í rannsóknum fyrirtækisins. Að mati Persónuverndar getur Gallup því haft lögmæta hagsmuni af því að vista símanúmer einstaklinga í símanúmeragrunni fyrirtækisins og vinnslan verið nauðsynleg í þágu þeirra hagsmuna.

Við skýringu meginreglu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sem lýtur að sanngjarnri og gagnsærri vinnslu persónuupplýsinga, er meðal annars nauðsynlegt að líta til ákvæða laganna og reglugerðarinnar um fræðsluskyldu ábyrgðaraðila gagnvart hinum skráðu sem við eiga hverju sinni, sbr. 17. gr. laga nr. 90/2018 og 14. gr. reglugerðar (ESB) 2016/679. Fræðsluskylda ábyrgðaraðila á þó ekki við ef og að því marki sem það kostar óhóflega fyrirhöfn að veita fræðsluna, sbr. b-lið 5. mgr. 14. gr. reglugerðarinnar. Í því sambandi ber m.a. að taka tillit til fjölda skráðra einstaklinga, sbr. 62. lið formála reglugerðarinnar. Að mati Persónuverndar getur undanþáguákvæði 5. mgr. 14. gr. reglugerðarinnar átt við um þá vinnslu persónuupplýsinga af hálfu Gallup sem felst í því að vista símanúmer einstaklinga í símanúmeragrunni fyrirtækisins. Þá eru allir einstaklingar sem samþykkja að taka þátt í könnun á vegum Gallup upplýstir um það í upphafi símtals að upplýsingar um vinnslu persónuupplýsinga af hálfu Gallup sé að finna í persónuverndarstefnu sem sé aðgengileg á heimasíðu fyrirtækisins, www.gallup.is. Í persónuverndarstefnu Gallup er m.a. að finna upplýsingar um að til þess að geta sinnt hlutverki sínu haldi Gallup utan um nánar tilgreindar upplýsingar, þ. á m. um nafn og símanúmer einstaklinga til þess að geta gefið þeim kost á að taka þátt í könnunum. Með vísan til framangreinds verður eins og hér háttar til að telja að umrædd vinnsla persónuupplýsinga sé sanngjörn og gagnsæ gagnvart hinum skráða.

Þegar vinnsla persónuupplýsinga fer fram á grundvelli lögmætra hagsmuna er hinum skráða heimilt að andmæla vinnslunni og ber ábyrgðaraðila þá að gæta að andmælarétti hins skráða. Um andmælarétt skráðra einstaklinga gildir ákvæði 21. gr. laga nr. 90/2018. Samkvæmt 1. mgr. þeirrar greinar er skráðum einstaklingum meðal annars heimilt að andmæla vinnslu persónuupplýsinga um sig sem byggist á f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679 og skal ábyrgðaraðili þá ekki vinna persónuupplýsingarnar frekar nema hann geti sýnt fram á mikilvægar lögmætar ástæður fyrir vinnslunni sem ganga framar hagsmunum, réttindum og frelsi hins skráða.

Í málinu liggur fyrir að eiginkona kvartanda lenti í þjóðskrárúrtaki hjá Gallup. Þjóðskrárúrtakið var keyrt saman við símanúmeragrunn Gallup og í kjölfarið notaði fyrirtækið heimasímanúmer kvartanda í tvígang í þeim tilgangi að hafa samband við eiginkonu hans. Kvartandi hafði uppi andmæli við starfsmann Gallup í framangreindum símtölum. Að sögn Gallup hafa kvartandi og eiginkona hans nú verið bannmerkt í símanúmeragrunni Gallup og verður því ekki haft samband við þau framar af hálfu fyrirtækisins í neinum tilgangi. Skráning á símanúmerum einstaklinga í símanúmeragrunn Gallup er þannig liður í því að virða andmælarétt einstaklinga, sbr. 21. gr. laga nr. 90/2018, en fyrirtæki þurfa að halda utan um það þegar einstaklingar andmæla því að fá frekari símhringingar og virða þau andmæli. Með vísan til framangreinds er það mat Persónuverndar að Gallup hafi brugðist við andmælum kvartanda með fullnægjandi hætti. Verður því ekki talið að Gallup hafi brotið gegn skyldu sinni samkvæmt 21. gr. laga nr. 90/2018 og 21. gr. reglugerðar (ESB) 2016/679.

Að öllu framangreindu virtu er það niðurstaða Persónuverndar að umrædd vinnsla persónuupplýsinga um kvartanda af hálfu Gallup hafi samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Ú r s k u r ð a r o r ð:

Vinnsla Gallup á persónuupplýsingum um [A] samrýmist ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Persónuvernd, 23. nóvember 2022

Helga Sigríður Þórhallsdóttir                        Edda Þuríður Hauksdóttir