Vinnsla persónuupplýsinga af hálfu Menntasjóðs námsmanna og miðlun Skattsins

Mál nr. 2021112203

23.11.2022

Úrskurður

 

um kvörtun yfir vinnslu persónuupplýsinga af hálfu Menntasjóðs námsmanna og Skattsins í máli nr. 2021112203:

I.
Málsmeðferð

Hinn 15. nóvember 2021 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir vinnslu persónuupplýsinga um hann af hálfu Menntasjóðs námsmanna (hér eftir Menntasjóður) í tengslum við umsókn sambúðarmaka hans um undanþágu frá greiðslu fastrar afborgunar af námslánum sínum vegna verulegra fjárhagserfiðleika, sbr. 23. gr. laga nr. 60/2020 um Menntasjóð námsmanna. Þá er jafnframt kvartað yfir miðlun Skattsins á upplýsingunum til Menntasjóðs vegna umræddrar umsóknar.

Persónuvernd bauð Menntasjóði og Skattinum að tjá sig um kvörtunina með bréfum, dags. 27. júní 2022, og bárust svör Menntasjóðs 18. júlí s.á. og svör Skattsins 30. ágúst s.á.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

___________________

Kvartandi vísar til þess að Menntasjóður hafi unnið með upplýsingar um tekjur hans við mat á umsókn sambúðarmaka um frestun á endurgreiðslu afborgana námslána vegna verulegra fjárhagsörðugleika samkvæmt 23. gr. laga nr. 60/2020. Telur kvartandi að ákvæði í úthlutunarreglum Menntasjóðs, sem setji skilyrði um tiltekna hámarksfjárhæð á árstekjum hjóna/sambúðarfólks árið á undan við mat á umsókn samkvæmt ákvæðinu, eigi sér ekki lagastoð. Menntasjóður hafi því ekki haft heimild til að afla upplýsinga um tekjur kvartanda vegna umsóknarinnar. Þá telur kvartandi að Skattinum hafi jafnframt verið óheimilt að byggja miðlun upplýsinga um hann til Menntasjóðs vegna umsóknarinnar á 3. mgr. 12. gr. laga nr. 60/2020, þar sem fjallað er um upplýsingagjöf til sjóðsins.

Af hálfu Menntasjóðs er á því byggt að vinnslan hafi verið nauðsynleg til að fullnægja lagaskyldu sem hvíli á sjóðnum, sbr. 3. tölul. 9. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Vísar Menntasjóður til þess að samkvæmt 1. mgr. 23. gr. laga nr. 60/2020 geti lánþegi sótt um frestun á endurgreiðslu námslána ef ákveðnar aðstæður valda verulegum fjárhagsörðugleikum hjá lánþega eða fjölskyldu hans. Í 3. mgr. sama ákvæðis komi fram að lánþegi sem sæki um frestun afborgunar skuli leggja sjóðstjórn til þær upplýsingar sem stjórnin telur skipta máli. Bendir Menntasjóður á að með heimild í 36. gr. laga nr. 60/2020 setji ráðherra úthlutunarreglur um útfærslu og framkvæmd laganna. Í úthlutunarreglum sjóðsins fyrir árið 2020-2021, sbr. m.a. gr. 15.1, komi fram að almennt sé ekki veittur frestur á afborgun ef árstekjur hjóna/sambúðarfólks eru yfir ákveðnum tekjuviðmiðum árið á undan. Stjórn sjóðsins hafi eingöngu heimild til að veita frestun á afborgun ef þau atvik sem talin eru upp í úthlutunarreglum sjóðsins eiga við um stöðu lántaka og verði í því sambandi að fá upplýsingar um tekjur maka.

Skatturinn byggir jafnframt á því að miðlun umræddra upplýsinga til Menntasjóðs styðjist við 3. tölul. 9. gr. laga nr. 90/2018. Ákvæði 3. mgr. 12. gr. laga nr. 60/2020 leggi þá skyldu á Skattinn að vinna persónuupplýsingar og miðla þeim til sjóðsins. Í svarbréfi Skattsins kemur fram að því hafi verið sett upp vefþjónusta sem Menntasjóður hafi aðgang að og geti sótt þangað upplýsingar sem sjóðurinn telji nauðsynlegar hverju sinni. Skatturinn teljist ábyrgðaraðili vegna miðlunar persónuupplýsinganna en Menntasjóður teljist ábyrgðaraðili þeirrar vinnslu sem felist í öflun umræddra persónuupplýsinga. Vinnsla Menntasjóðs sé þó ávallt háð því að hún sé nauðsynleg til að framfylgja lagaskyldu sjóðsins og fari einungis fram í þeim tilgangi.

Af svörum Skattsins má leiða að vinnsla Menntasjóðs í vefþjónustunni sé byggð á mati sjóðsins hverju sinni, m.a. á því hvort vinnsluheimild sé til staðar. Menntasjóður hafi því ekki takmarkalausa heimild til að vinna upplýsingar í gegnum vefþjónustu Skattsins. Vísar Skatturinn til þess að samkvæmt lögum nr. 90/2003 um tekjuskatt, skuli Ríkisskattstjóri vinna persónuupplýsingar, meðal annars um tekjur og efnahag skattaðila við ákvörðun um álagningu skatta og gjalda. Samkvæmt 1. mgr. 117. gr. sömu laga hvíli þagnarskylda á starfsmönnum Skattsins varðandi upplýsingarnar. Þagnarskyldan sé þó rofin vegna ákvæða í lögum sem skyldi meðal annars Ríkisskattstjóra til að afhenda öðrum stjórnvöldum þær upplýsingar sem taldar séu að lögum nauðsynlegar viðkomandi stjórnvöldum við framkvæmd þeirra verkefna sem þeim eru falin. Bendir Skatturinn á að þegar lög mæli fyrir um upplýsingaskyldu á hendur Ríkisskattstjóra sé kannað sérstaklega inntak þeirrar skyldu og hvernig best sé að miðla þeim upplýsingum á milli stofnana áður en vinnslan hefst. Þannig kanni Ríkisskattstjóri hvort lagaheimildin veiti stjórnvaldi heimild til viðtöku upplýsinga og jafnframt hvort það viðhafi mat á því hvaða upplýsinga sé þörf að teknu tilliti til þeirrar löggjafar sem stjórnvaldið starfi eftir. Þegar annað stjórnvald viðhafi mat á því hvaða upplýsingaskylda sé lögð á Ríkisskattstjóra hafi verið farin sú leið að setja upp vefþjónustu. Vefþjónustan geri viðkomandi stjórnvaldi kleift að sækja þær upplýsingar sem það telur nauðsynlegar hverju sinni. Gert sé formlegt samkomulag um tilhögun gagnaafhendingarinnar þegar annað stjórnvald fái aðgang að vefþjónustu með gögnum frá Ríkisskattstjóra. Því til stuðnings vísar Skatturinn í samkomulag Skattsins við Lánasjóð íslenskra námsmanna (LÍN, nú Menntasjóður námsmanna) um upplýsingamiðlun, dags. 4. september 2019. Samkvæmt 4. gr. viðkomandi samkomulags ábyrgist Ríkisskattstjóri að upplýsingar séu réttar, eins og þær séu á hverjum tíma, en LÍN ábyrgist að aðeins sé óskað eftir upplýsingum eigin viðskiptavina sem séu nýttar við lögboðin verkefni sjóðsins, að gætt sé fyllstu öryggissjónarmiða við meðferð gagnanna og varðveislu ásamt því að meðferð allra upplýsinga sé í samræmi við ákvæði laga nr. 90/2018. Þá sé öryggis persónuupplýsinga gætt með ýmsum skipulagslegum og tæknilegum öryggisráðstöfunum en í því samhengi er vísað til öryggis upplýsingatæknikerfa, áhættustýringar og viðbragða vegna rekstrarfrávika. Það sé því mat Skattsins að með framangreindu samkomulagi um vinnslu umræddra persónuupplýsinga milli Skattsins og LÍN sé gætt að meginreglum 1. mgr. 8. gr. laga nr. 90/2018.

II.
Niðurstaða
1.
Lögmæti vinnslu

Mál þetta lýtur að vinnslu Menntasjóðs og Skattsins á upplýsingum um kvartanda vegna umsóknar sambúðarmaka hans um frestun á afborgun námslána vegna verulegra fjárhagsörðugleika. Varðar það því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. 

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar.

Eins og hér háttar til telst Menntasjóður vera ábyrgðaraðili að öflun og notkun persónuupplýsinga um kvartanda. Skatturinn telst ábyrgðaraðili að miðlun persónuupplýsinga um kvartanda til Menntasjóðs.

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Af heimildum 9. gr. laganna telur Persónuvernd að einkum geti átt við 3. tölul., þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, og 5. tölul., sem heimilar vinnslu sé hún nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Mæla skal fyrir um grundvöll vinnslu, sem fram fer á grundvelli síðarnefndu heimildarinnar, í lögum, sbr. 3. mgr. 6. gr. reglugerðarinnar.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.) og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul).

Við mat á heimild til vinnslu samkvæmt framangreindu getur þurft að líta til ákvæða í öðrum lögum sem eiga við hverju sinni. Eins og hér háttar til koma þar einkum til skoðunar lög nr. 60/2020 um Menntasjóð námsmanna. Eins og áður hefur komið fram er sjóðstjórn Menntasjóðs heimilt að veita frestun á mánaðarlegum endurgreiðslum meðal annars vegna verulegra fjárhagsörðugleika hjá lánþega eða fjölskyldu hans, sbr. 23. gr. laganna. Í 3. mgr. sama ákvæðis kemur fram að lánþegi sem sækir um frestun samkvæmt ákvæðinu skuli leggja sjóðstjórn til þær upplýsingar sem stjórnin telur skipta máli. Í 36. gr. sömu laga kemur síðan fram að ráðherra setji úthlutunarreglur um útfærslu og framkvæmd laganna. Fyrrnefnt skilyrði um hámarkstekjur hjóna/sambúðarfólks er svo að finna í úthlutunarreglum Menntasjóðs.

Til þess er að líta að Persónuvernd hefur áður úrskurðað í máli þar sem reynt hefur á samsvarandi álitamál og í kvörtun kvartanda greinir, sbr. úrskurð Persónuverndar í máli nr. 2015/1619. Í málinu var kvartað yfir söfnun LÍN á upplýsingum um tekjur kvartanda vegna umsóknar eiginkonu hans um undanþágu frá greiðslu afborgunar af námslánum sínum vegna örorku, sbr. 6. mgr. 8. gr. þágildandi laga nr. 21/1992, um Lánasjóð íslenskra námsmanna. Í úrskurðinum komst Persónuvernd að þeirri niðurstöðu að LÍN hefði verið heimil vinnslan á grundvelli lagaskyldu, skv. 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Til stuðnings þeirri niðurstöðu vísaði Persónuvernd til 1. málsl. 7. mgr. 8. gr. sömu laga um að skuldari, sem hefði sótt um undanþágu skv. 6. mgr. 8. gr., skyldi leggja sjóðsstjórn til þær upplýsingar sem stjórnin taldi skipta máli. Þá vísaði Persónuvernd í ákvæði úthlutunarreglna sjóðsins um að ekki væru veittar undanþágur vegna örorku eða verulegra fjárhagsörðugleika ef árstekjur hjóna væru yfir ákveðnum fjárhæðarmörkum. Auk framangreinds vísaði Persónuvernd til ákvæðis 4. mgr. 14. gr. sömu laga um að Ríkisskattstjóra væri skylt að láta Lánasjóðnum í té upplýsingar sem væru nauðsynlegar við framkvæmd laganna.

Lög nr. 21/1992 um Lánasjóð íslenskra námsmanna, sem giltu á þeim tíma sem framangreindur úrskurður var kveðinn upp, voru felld úr gildi með lögum nr. 60/2020 um Menntasjóð námsmanna. Í 3. mgr. 12. gr. laga nr. 60/2020 er fjallað um upplýsingaskyldu Ríkisskattstjóra og er ákvæðið sambærilegt fyrrnefndu ákvæði 14. gr. laga nr. 21/1992. Hins vegar hefur ákvæðinu verið breytt á þann veg að nú inniheldur það tæmandi talningu á því hvenær Ríkisskattstjóra er skylt að afhenda Menntasjóði upplýsingar, meðal annars um tekjur maka og foreldra lánþega. Sú skylda Skattsins afmarkast nú nánar tiltekið við ákvæði 1. og 2. tölul. 1. mgr. 3. gr. laganna sem fjallar um lán sem Menntasjóði er heimilt að veita námsmönnum til viðbótar við framfærslu- og skólagjaldalán skv. 2. gr. að uppfylltum vissum skilyrðum. Í ákvæðinu er hvergi vísað til 23. gr. laganna í því sambandi.

Með vísan til þess nýmælis sem nú er að finna í framangreindu ákvæði 3. mgr. 12. gr. laga nr. 60/2020 þykir verða að gagnálykta á þann veg að Skattinum sé ekki skylt að afhenda Menntasjóði upplýsingar um tekjur maka lánþega vegna umsóknar þess síðarnefnda um frestun á afborgun námslána vegna verulegra fjárhagsörðugleika, samkvæmt 23. gr. laganna. Hins vegar verður ekki séð að ákvæðið leggi bann við því að slíkra upplýsinga sé aflað af hálfu Menntasjóðs í tengslum við umsóknir samkvæmt 23. gr. laganna, t.d. með beiðni til lánþega sjálfs. Þó liggur fyrir að það var ekki gert í þessu máli heldur var kvartanda tilkynnt um vinnsluna eftir að upplýsinganna hafði verið aflað frá Skattinum.

Í svarbréfi Skattsins, dags. 30. ágúst 2022, kemur fram að sú leið sé farin, þegar lög mæla fyrir um upplýsingaskyldu á hendur Ríkisskattstjóra, að kanna sérstaklega inntak þeirrar skyldu, meðal annars hvort lagaheimildin veiti stjórnvaldi heimild til viðtöku upplýsinganna og jafnframt hvort það viðhafi mat á því hvaða upplýsinga sé þörf. Kemur jafnframt fram í bréfinu að þegar annað stjórnvald viðhafi mat á því hvaða upplýsingaskylda sé lögð á Ríkisskattstjóra hafi sú leið verið farin að setja upp vefþjónustu.

Vegna framangreinds þykir verða að benda á að Skatturinn telst ábyrgðaraðili þeirrar vinnslu sem fólst í að miðla upplýsingum um kvartanda til Menntasjóðs, eins og áður hefur komið fram. Sjálfstæð ábyrgð Skattsins í máli kvartanda fólst því meðal annars í því að gæta að því að miðlun upplýsinga um hann færi fram á grundvelli heimildar samkvæmt 9. gr. laga nr. 90/2018. Ekki verður því fallist á framangreind sjónarmið Skattsins um að það hafi verið í höndum Menntasjóðs að viðhafa mat á upplýsingaskyldu Skattsins.

Að framangreindu virtu er það niðurstaða Persónuverndar að öflun Menntasjóðs á upplýsingum um tekjur kvartanda frá Skattinum, sem og miðlun Skattsins á sömu upplýsingum til Menntasjóðs, hafi ekki samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Ú r s k u r ð a r o r ð:

Öflun Menntasjóðs námsmanna á upplýsingum um tekjur [A] frá Skattinum samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Miðlun Skattsins á upplýsingum um tekjur [A] til Menntasjóðs námsmanna samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Persónuvernd, 23. nóvember 2022

Helga Sigríður Þórhallsdóttir                                    Inga Amal Hasan