Vinnsla persónuupplýsinga hjá Creditinfo Lánstrausti hf., Motus og Símanum hf.

Mál nr. 2017/1456

23.12.2019

Úrskurður

Hinn 16. desember 2019 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2017/1456:

I.
Málsmeðferð
1.
Tildrög máls og málsmeðferð

Hinn 10. október 2017 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) yfir því að Motus hefði skráð kennitölu hans í vöktun hjá Creditinfo Lánstrausti hf. (hér eftir „Creditinfo“) vegna innheimtu krafna sem kvartandi hafði mótmælt sem óréttmætum og yfir því að Creditinfo hefði hafnað því að stöðva umrædda vöktun Motusar. Enn fremur laut kvörtunin að því að uppflettingar í vanskilaskrá og skráning kennitölu kvartanda í vöktun hefðu haft neikvæð áhrif á lánshæfismat hans.

Með bréfum, dags. 15. febrúar 2018, var Motus og Creditinfo boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svör beggja aðila bárust með bréfum, dags. 27. febrúar 2018. Með bréfi, dags. 3. maí 2018, ítrekuðu 1. ágúst s.á., var kvartandi spurður hvort kvörtunin beindist einnig að Símanum hf. Staðfesti kvartandi það með tölvupósti 27. ágúst 2018. Með bréfi, dags. 29. júní 2019, var Símanum hf. gefinn kostur á að koma á framfæri skýringum vegna kvörtunarinnar og barst svar með bréfi, dags. 16. ágúst s.á. Kvartanda var boðið að koma á framfæri athugasemdum með bréfi, dags. 28. ágúst 2019, ítrekuðu 1. október 2019 og barst svar með tölvupósti 28. október s.á.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna.

Meðferð málsins hefur dregist vegna mikilla anna hjá Persónuvernd.

2.

Sjónarmið kvartanda

Fram kemur í kvörtuninni að kvartandi hafi fengið senda reikninga frá Símanum hf. fyrir áskrift að sjónvarpsþjónustu. Hann hafi fengið þau svör frá Símanum að hann hefði þegið tilboð um gjaldfrjálsa sjónvarpsþjónustu til eins mánaðar frá Skjánum, sem síðar sameinaðist Símanum hf., og að hefði hann ekki viljað greiða fyrir áframhaldandi áskrift eftir þann tíma hefði hann þurft að segja áskriftinni upp, sem hann hefði ekki gert. Kvartandi hafi ekki kannast við að hafa óskað eftir umræddri þjónustu og hafi hann því mótmælt umræddum reikningum þar sem enginn samningur eða gögn, sem staðfest hafi getað réttmæti krafnanna, hafi legið fyrir. Þar sem kröfurnar hafi ekki verið réttmætar hafi ekki verið um raunveruleg vanskil að ræða. Kröfurnar hafi síðar verið settar í innheimtu hjá Motus sem hafi í kjölfarið skráð kennitölu kvartanda í vöktun hjá Creditinfo.

Kvartandi telur að vöktun Motusar á kennitölu hans hjá Creditinfo hafi ekki verið í samræmi við lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, auk þess sem fyrrgreindar kröfur hafi ekki átt að geta haft áhrif á lánshæfismat hans. Þá hafi engin rök verið færð fram fyrir því að hagsmunir Símans hf. af innheimtu kröfu með höfuðstól að fjárhæð kr. 20.655 vegi þyngra en hagsmunir kvartanda, ekki síst þar sem kröfunni hafi verið mótmælt. Fram kemur af hálfu kvartanda að Creditinfo hafi hafnað því að stöðva vöktun Motusar á kennitölu hans og að vöktunin, ásamt uppflettingum á kennitölu kvartanda í vanskilaskrá, hafi haft neikvæð áhrif á lánshæfismat kvartanda. Lagði hann meðal annars fram afrit tölvupóstsamskipta við Creditinfo frá júlímánuði 2017 þar sem fram kemur að helstu áhrifaþættir til lækkunar á lánshæfismati hans á þeim tíma hafi verið vöktun vanskila af hálfu innheimtufyrirtækis og uppflettingar í vanskilaskrá af hálfu innheimtufyrirtækis.

3.

Sjónarmið Creditinfo Lánstrausts hf.

Creditinfo byggir á því að vöktun og uppflettingar á kennitölu einstaklings í vanskilaskrá geti einkum stuðst við 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, þess efnis að vinna megi með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Notendur vanskilaskrár geti haft lögvarða hagsmuni af því að kanna stöðu einstaklings á vanskilaskrá sé það gert í þeim tilgangi að kanna lánstraust í tengslum við væntanleg eða yfirstandandi láns- eða reikningsviðskipti eða vegna innheimtu á gjaldföllnum reikningum. Telja verði að kröfuhafi, eða innheimtuaðili fyrir hans hönd, hafi lögvarða hagsmuni af því að fletta upp og/eða vakta kennitölu einstaklings meðan krafa sé í vanskilum. Þá verði ekki séð að framangreindir aðilar hafi minni hagsmuni af öflun upplýsinganna þótt krafa sé umdeild, enda geti viðkomandi þurft að meta áframhaldandi kostnaðarsamar innheimtuaðgerðir með tilliti til stöðu skuldara.

Að því er varðar uppflettingar í vanskilaskrá, vöktun kennitölu og áhrif þeirra á lánshæfismat segir í bréfi Creditinfo, dags. 27. febrúar 2018, að þessir þættir hafi verið helstu áhrifaþættir á lánshæfismat kvartanda á þeim tíma sem hann hafði samband við fyrirtækið. Í kjölfar úrskurðar Persónuverndar í máli nr. 2016/1138, þar sem komist var að þeirri niðurstöðu að notkun Creditinfo á upplýsingum um uppflettingar í vanskilaskrá við gerð skýrslna um lánshæfi hefði ekki samrýmst lögum nr. 77/2000, hafi lánshæfismati Creditinfo verið breytt á þann veg að uppflettingar hafi verið teknar út sem áhrifaþættir í lánshæfi einstaklinga. Uppflettingar eða vaktanir innheimtuaðila hafi því ekki áhrif á lánshæfismat kvartanda.

4.
Sjónarmið Motusar

Í bréfi Motusar, dags. 27. febrúar 2018, kemur meðal annars fram að fyrirtækið fari með innheimtu vanskilakrafna fyrir Símann hf. á grundvelli skriflegs samnings um innheimtu. Öll vinnsla persónuupplýsinga sé á grundvelli samningsins og hún sé nauðsynleg til að framkvæma þau verk sem þar er kveðið á um. Þá hafi vanskilakrafa verið til innheimtu hjá Motus frá því að kennitala kvartanda var fyrst skráð í vöktun hjá Creditinfo. Af þeim sökum hafi verið nauðsynlegt, til að gæta hagsmuna kröfueiganda og fyrirbyggja réttarspjöll, að fylgjast með breytingum á stöðu kvartanda. Verði því að telja lögmæta hagsmuni hafa verið fyrir hendi. Vinnslan hafi því uppfyllt skilyrði 8. gr. laga nr. 77/2000.

5.
Sjónarmið Símans hf.

Í bréfi Persónuverndar til Símans hf., dags. 29. júní 2019, var þess sérstaklega getið að kvörtunin lyti að vinnslu persónuupplýsinga í tengslum við innheimtu kröfu í eigu Símans hf. Þá var tiltekið að kvartandi hefði staðfest með tölvupósti að kvörtunin beindist einnig að Símanum hf. og var fyrirtækinu veitt færi á að tjá sig um hana.

Í bréfi Símans hf. til Persónuverndar, dags. 16. ágúst 2019, segir meðal annars að fyrirtækið líti svo á að með bréfi Persónuverndar hafi ætlunin fyrst og fremst verið að afla upplýsinga um afstöðu fyrirtækisins til réttmætis kröfunnar, en þess hafi ekki verið óskað að Síminn hf. færði rök fyrir vinnslu persónuupplýsinga á vegum fyrirtækisins í málinu. Þá segir að Síminn hf. líti svo á að krafan hafi verið réttmæt í upphafi, en sé hins vegar fyrnd frá og með 10. júlí 2019. Afstaða Símans hf. eigi því ekki að hafa áhrif í málinu.

Líkt og kveðið var á um í 1. og 2. mgr. 37. gr. laga nr. 77/2000 annaðist Persónuvernd eftirlit með framkvæmd laganna og reglna settra samkvæmt þeim og úrskurðaði í ágreiningsmálum um vinnslu persónuupplýsinga. Efnislega sambærilegt ákvæði er nú að finna í 39. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Mátti Símanum hf. því vera ljóst af orðalagi bréfs Persónuverndar að með því væri fyrirtækinu gefinn kostur á að tjá sig um þá vinnslu persónuupplýsinga sem var tilefni kvörtunar þeirrar sem hér er til umfjöllunar.

II.

Forsendur og niðurstaða

1.

Lagaskil og afmörkun máls

Atvik máls þessa gerðust fyrir gildistöku núgildandi laga, nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, hinn 15. júlí 2018. Umfjöllun og efni þessa úrskurðar byggjast því á ákvæðum eldri laga, nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, en með gildistöku laga nr. 90/2018 voru ekki gerðar efnislegar breytingar á þeim reglum sem hér reynir á.

Um valdheimildir Persónuverndar frá og með 15. júlí 2018 fer hins vegar eftir núgildandi lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

2.

Gildissvið – Ábyrgðaraðilar

Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, giltu um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem voru eða áttu að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar voru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint mátti rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla var skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið var með persónuupplýsingar, hvort heldur vinnslan var handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna var þar átt við þann sem ákvað tilgang vinnslu persónuupplýsinga, þann búnað sem notaður var, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna.

Að því er varðar þá vinnslu sem fólst í skráningu kennitölu kvartanda í vöktun hjá Creditinfo liggur fyrir að Motus miðlaði upplýsingum um kvartanda til skráningar hjá Creditinfo. Einnig liggur fyrir að sú miðlun var þáttur í störfum fyrirtækisins fyrir Símann hf. Í því sambandi ber að líta til stöðu Motusar sem innheimtuaðila samkvæmt innheimtulögum nr. 95/2008, meðal annars skyldu slíks aðila til að afla leyfis til starfsemi sinnar samkvæmt 4. gr. laganna, sem og til kaupa á starfsábyrgðartryggingu samkvæmt 14. gr. laganna. Af þessu verður ályktað að gert sé ráð fyrir sjálfstæðum ákvörðunum innheimtuaðila um hvernig innheimtu sé háttað. Þegar litið er til þess telur Persónuvernd Motus vera ábyrgðaraðila að þeirri vinnslu sem fólst í skráningu kennitölu kvartanda í vöktun hjá Creditinfo. Jafnframt er ljóst að Síminn hf. fór með ákvörðunarvald um vinnsluna og telur Persónuvernd hann því einnig vera ábyrgðaraðila að henni.

Creditinfo hefur yfir að ráða upplýsingakerfum um fjárhagsmálefni og lánstraust sem meðal annars lánveitendur afla sér upplýsinga úr þegar metið er lánshæfi þeirra sem æskja fjárhagslegrar fyrirgreiðslu. Ljóst má telja að viðkomandi lánveitendur séu ábyrgðaraðilar að þeirri vinnslu sem þeir sjálfir viðhafa við gerð slíks mats. Það að koma þess háttar upplýsingakerfum á fót og vinna með upplýsingar í þeim í því skyni að miðla þeim til lánveitenda telst hins vegar vera á ábyrgð þess aðila sem hefur rekstur upplýsingakerfanna með höndum. Samkvæmt því telst Creditinfo vera ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem fólst í notkun upplýsinga, sem þar hafa verið skrásettar, til gerðar skýrslna fyrirtækisins um lánshæfi kvartanda.

3.

Lögmæti vinnslu

3.1. Almennt

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 8. gr. laga nr. 77/2000. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna, þ. á m. þeirra aðila sem upplýsingum er miðlað til, nema grundvallarréttindi og frelsi hins skráða vegi þyngra, sbr. 7. tölul. 1. mgr. þeirrar greinar, en litið hefur verið svo á að vinnsla upplýsinga um fjárhagsmálefni og lánstraust einstaklinga geti meðal annars átt sér stoð í því ákvæði.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra skuli vera í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem eru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.).

Um skráningu upplýsinga um fjárhagsmálefni og lánstraust er fjallað í reglugerð nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, sbr. meðal annars 3. mgr. 45. gr. laga nr. 77/2000. Samkvæmt 2. gr. reglugerðarinnar verður aðili, sem slíka söfnun og miðlun hefur með höndum, þ.e. fjárhagsupplýsingastofa, að hafa fengið starfsleyfi frá Persónuvernd. Creditinfo hefur þess háttar starfsleyfi en þegar atvik þau, sem urðu tilefni kvörtunar í máli þessu, áttu sér stað var í gildi starfsleyfi, dags. 28. febrúar 2017 (mál nr. 2016/1626).

3.2.
Lögmæti vinnslu vegna vöktunar á kennitölu kvartanda

Í tengslum við þá vinnslu persónuupplýsinga sem fólst í skráningu Motusar á kennitölu kvartanda í vöktun hjá Creditinfo þarf að líta til ákvæða fyrrnefnds starfsleyfis Creditinfo. Þrátt fyrir að starfsleyfið sé veitt til handa fjárhagsupplýsingastofu geta skyldur tengdar þeirri upplýsingavinnslu, sem fram fer á stofunni, einnig hvílt á öðrum. Er þá meðal annars til þess að líta að áskrifendur að upplýsingaþjónustu stofunnar geta eftir atvikum sjálfir sent henni upplýsingar til skráningar, en svo háttaði til í máli þessu. Nánar tiltekið skráði Motus kennitölu kvartanda í vöktun hjá Creditinfo vegna krafna í eigu Símans hf., en eins og áður var rakið fór Motus með innheimtu vanskilakrafna fyrir hönd Símans hf. á grundvelli samnings þar að lútandi. Við umrædda vinnslu bar Motus, meðal annars í ljósi fyrrnefnds ákvæðis 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, að líta til 3. mgr. í grein 2.1. í þágildandi starfsleyfi Creditinfo, þess efnis að vinnsla upplýsinga um umdeildar skuldir væri óheimil, en það átti við ef skuldari hafði andmælt skuld og hún ekki verið staðfest með réttargjörð. Fyrir liggur að kvartandi hafði uppi mótmæli vegna áðurnefndra krafna Símans hf., sem Motus annaðist innheimtu á, bæði við Símann hf. og Motus. Þá hvíldi sú skylda einnig á Símanum hf. sem kröfuhafa að tryggja að eigin frumkvæði að unnið væri samkvæmt þessu, enda takmarkar það ekki skyldu fyrirtæksins að þessu leyti að utanaðkomandi aðila hafi verið falin innheimta kröfunnar.

Í ljósi framangreinds er það mat Persónuverndar að skráning kennitölu kvartanda í vöktun hjá Creditinfo hafi ekki samrýmst ákvæðum laga nr. 77/2000.

Með vísan til 6. og 7. mgr. 42. gr. laga nr. 90/2018 er lagt fyrir Motus að senda Persónuvernd staðfestingu á því, eigi síðar en 23. janúar 2020, að vöktun á kennitölu kvartanda hjá Creditinfo Lánstrausti hf., vegna þeirra krafna Símans hf. sem kvörtunin tekur til, hafi verið hætt.

3.3.
Lögmæti vinnslu upplýsinga um uppflettingar í vanskilaskrá

Með úrskurði, dags. 28. september 2017 í máli nr. 2016/1138, komst Persónuvernd að þeirri niðurstöðu að notkun upplýsinga um uppflettingar um einstakling í vanskilaskrá Creditinfo við gerð skýrslu um lánshæfi hlutaðeigandi einstaklings samrýmdist ekki ákvæði 2. tölul. 1. mgr. 7. gr. laga nr. 77/2000 um bann við vinnslu persónuupplýsinga í tilgangi sem ósamrýmanlegur er upphaflegum vinnslutilgangi. Fram hefur komið af hálfu Creditinfo að slíkar uppflettingar höfðu áhrif á lánshæfismat kvartanda í máli þessu þegar þau atvik sem urðu tilefni kvörtunarinnar áttu sér stað.

Í ljósi framangreinds er það mat Persónuverndar að vinnsla Creditinfo á upplýsingum um uppflettingar á kennitölu kvartanda við gerð skýrslu um lánshæfismat hans hafi ekki samrýmst ákvæðum laga nr. 77/2000.

Með vísan til 6. og 7. mgr. 42. gr. laga nr. 90/2018 er lagt fyrir Creditinfo Lánstraust hf. að senda Persónuvernd staðfestingu á því, eigi síðar en 23. janúar 2020, að upplýsingar um uppflettingar á kennitölu kvartanda í vanskilaskrá hafi ekki áhrif á skýrslur um lánshæfi hans.

3.4.
Lögmæti vinnslu Creditinfo á upplýsingum um vöktun kennitölu kvartanda

Fyrir liggur að kvartandi andmælti vöktun kennitölu sinnar við Creditinfo í tölvupósti þann 20. júlí 2017 á þeim grundvelli að hann teldi kröfu Símans hf. og vöktun vegna hennar ekki réttmæta. Þegar af þeirri ástæðu er það mat Persónuverndar að vöktun kröfunnar hafi ekki átt að hafa áhrif á lánshæfismat kvartanda eins og hér háttar til.

Með vísan til 6. og 7. mgr. 42. gr. laga nr. 90/2018 er lagt fyrir Creditinfo Lánstraust hf. að senda Persónuvernd staðfestingu á því, eigi síðar en 23. janúar 2020, að upplýsingar um vöktun á kennitölu kvartanda, vegna þeirra krafna Símans hf. sem hér hafa verið til umfjöllunar, hafi ekki áhrif á skýrslur um lánshæfi hans.

Ú r s k u r ð a r o r ð:

Vinnsla Motusar og Símans hf. á persónuupplýsingum um kvartanda, sem fólst í skráningu kennitölu hans í vöktun hjá Creditinfo Lánstrausti hf., samrýmdist ekki lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Með vísan til 6. og 7. mgr. 42. gr. laga nr. 90/2018 er lagt fyrir Motus að senda Persónuvernd staðfestingu á því, eigi síðar en 23. janúar 2020, að vöktun á kennitölu kvartanda hjá Creditinfo Lánstrausti hf., vegna þeirra krafna Símans hf. sem kvörtunin tekur til, hafi verið hætt.

Vinnsla Creditinfo Lánstrausts hf. á upplýsingum um uppflettingar og vöktun á kennitölu kvartanda í vanskilaskrá við gerð skýrslu um lánshæfismat hans samrýmdist ekki lögum nr. 77/2000.

Með vísan til 6. og 7. mgr. 42. gr. laga nr. 90/2018 er lagt fyrir Creditinfo Lánstraust hf. að senda Persónuvernd staðfestingu á því, eigi síðar en 23. janúar 2020, að upplýsingar um uppflettingar á kennitölu kvartanda í vanskilaskrá, og upplýsingar um vöktun á kennitölu kvartanda, vegna þeirra krafna Símans hf. sem kvörtunin tók til, hafi ekki áhrif á skýrslur um lánshæfi hans.

Í Persónuvernd, 16. desember 2019

Helga Þórisdóttir                Helga Sigríður Þórhallsdóttir