Vinnsla persónuupplýsinga um búsetu einstaklings af hálfu Creditinfo Lánstrausts hf.

Mál nr. 2020010666

6.4.2021

Úrskurður

Hinn 16. mars 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010666 (áður 2019081593):

I.

Málsmeðferð

1.

Tildrög máls

Hinn 28. ágúst 2019 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir synjun Creditinfo Lánstraust hf. (hér eftir Creditinfo) á að taka við upplýsingum um búsetu hans sem ekki voru í samræmi við skráningu hans í þjóðskrá.

Með bréfi, dags. 20. janúar 2020, var Creditinfo tilkynnt um framangreinda kvörtun og þá afgreiðslu málsins sem var þá fyrirhuguð af hálfu Persónuverndar og var boðið að koma á framfæri athugasemdum. Svarað var með bréfi, dags. 5. febrúar s.á. Með bréfi, dags. 16. apríl s.á., var kvartanda tilkynnt um svarbréf fyrirtækisins og honum boðið að koma á framfæri athugasemdum. Svarað var með bréfi, dags. 24. s.m. Með símtali og tölvupósti þann 18. nóvember s.á. óskaði Persónuvernd eftir frekari upplýsingum frá kvartanda varðandi afmörkun málsins og hvort líta bæri á svarbréf hans sem viðbótarkvörtun, þ.e. varðandi synjun Creditinfo á að útbúa skýrslu um lánshæfi hans. Með tölvupósti þann 25. s.m. fór kvartandi þess á leit við Persónuvernd að stofnunin tæki þá synjun jafnframt til úrlausnar.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þótt ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð þessa máls hefur dregist vegna mikilla anna hjá Persónuvernd.

2.

Sjónarmið kvartanda

Kvartandi byggir á því að Creditinfo hafi neitað að taka við upplýsingum um búsetu hans sem staðfestar hafi verið skriflega af Þjóðskrá Íslands og því sveitarfélagi sem hann býr í. Telur kvartandi þessa afstöðu fyrirtækisins fara í bága við kröfu 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sem mælir fyrir um að við vinnslu persónuupplýsinga skuli þess gætt að þær séu áreiðanlegar og uppfærðar eftir þörfum.

Þá hefur komið fram af hálfu kvartanda að hann telji að Creditinfo hafi verið óheimilt að synja honum um gerð skýrslu um lánshæfi hans vegna lögheimilisskráningar.

3.

Sjónarmið Creditinfo

Af hálfu Creditinfo er á því byggt að fyrirtækinu beri samkvæmt starfsleyfi sínu frá Persónuvernd að senda tilkynningar til skráðra einstaklinga á skráð lögheimili þeirra samkvæmt þjóðskrá. Vinnsla lögheimilis- og aðsetursskráninga fari ekki fram á vegum fyrirtækisins heldur séu umræddar upplýsingar sóttar frá Þjóðskrá Íslands. Samkvæmt lögum nr. 80/2018 um lögheimili og aðsetur sé markmið þeirrar skráningar meðal annars það að tryggja að hún sé sem réttust hverju sinni og að ábyrgð á skráningunni hvíli fyrst og fremst á einstaklingnum sjálfum.

Telur Creditinfo að með því að sækja upplýsingar til Þjóðskrár Íslands á hverjum tíma, sem séu uppfærðar einu sinni á sólarhring, sé unnið með eins uppfærðar og áreiðanlegar upplýsingar um búsetu einstaklinga eins og kostur sé á. Með því uppfylli fyrirtækið kröfu 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Ekki yrði unnt að tryggja áreiðanleika og uppfærslu sjálfstæðrar skráningar Creditinfo á búsetu einstaklinga og telur fyrirtækið slíka framkvæmd andstæða tilvitnuðu lagaákvæði.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Mál þetta lýtur annars vegar að því að Creditinfo hafi neitað að skrá sérstaklega upplýsingar um búsetu kvartanda í stað þess að miða við lögheimilisskráningu hans í þjóðskrá. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar sá þáttur málsins vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Málið lýtur hins vegar að því að Creditinfo hafi synjað kvartanda um að reikna lánshæfiseinkunn hans og gefa út skýrslu þar að lútandi. Telur Persónuvernd að líta verði svo á að í því felist að persónuupplýsingar um kvartanda hafi ekki verið unnar þrátt fyrir kröfu hans um hið gagnstæða. Að því virtu og með hliðsjón af framangreindum ákvæðum fellur þessi þáttur málsins ekki undir valdsvið Persónuverndar og er honum því vísað frá.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili, sbr. 6. tölul. 3. gr. laganna og 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst Creditinfo vera ábyrgðaraðili að umræddri vinnslu.

2.

Lögmæti vinnslu

Málsaðila greinir ekki á um heimild Creditinfo til vinnslu persónuupplýsinga um búsetu, sbr. 9. gr. laga nr. 90/2018. Er ágreiningur bundinn við hvort Creditinfo hafi gætt að kröfu 4. tölul. 1. mgr. 8. gr. laganna við vinnslu slíkra upplýsinga um kvartanda.

Ákvæði 4. tölul. 1. mgr. 8. gr. laganna mælir fyrir um að við vinnslu persónuupplýsinga skuli þess gætt að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingum, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli eytt eða þær leiðréttar án tafar. Í samræmi við þessa kröfu eiga skráðir einstaklingar jafnframt rétt til að fá óáreiðanlegar persónuupplýsingar um sig leiðréttar, sbr. 1. mgr. 20. gr. laganna, samkvæmt nánari fyrirmælum 16. gr. reglugerðar (ESB) 2016/679.

Við mat á því hvort við vinnslu persónuupplýsinga sé gætt að 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018 getur þurft að líta til annarra lagaákvæða sem við eiga hverju sinni. Eins og hér háttar til reynir einkum á lög nr. 80/2018, um lögheimili og aðsetur, sem hafa það meðal annars að markmiði að stuðla að réttri skráningu lögheimilis og aðseturs einstaklinga á hverjum tíma, sbr. 1. gr. þeirra. Telst lögheimili vera sá staður þar sem einstaklingur hefur fasta búsetu, sbr. 1. málsl. 1. mgr. 2. gr. laganna. Samkvæmt 1. mgr. 12. gr. laganna fer skráning lögheimilis fram hjá Þjóðskrá Íslands. Ber sérhverjum sjálfráða einstaklingi sem á lögheimili á Íslandi að skrá og viðhalda réttri skráningu, sbr. 2. mgr. sömu greinar.

Þegar litið er til framangreindra lagaákvæða þykir verða að leggja til grundvallar að þjóðskrá sé ætlað að endurspegla raunverulega búsetu einstaklinga á hverjum tíma og geymi því áreiðanlegar og uppfærðar upplýsingar þar að lútandi. Ber samkvæmt því að líta svo á að Creditinfo hafi gætt að kröfu 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018 við vinnslu persónuupplýsinga um búsetu kvartanda með því að afla þeirra frá Þjóðskrá Íslands. Af því leiðir jafnframt að upplýsingarnar geta ekki talist óáreiðanlegar og ber því að miða við að kvartandi hafi ekki átt ekki rétt á að fá upplýsingarnar leiðréttar á grundvelli 1. mgr. 20. gr. laganna og 16. gr. reglugerðar (ESB) 2016/679.

Að framangreindu virtu er niðurstaða Persónuverndar að vinnsla Creditinfo á persónuupplýsingum um búsetu kvartanda samrýmist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Ú r s k u r ð a r o r ð:

Vinnsla Creditinfo á persónuupplýsingum um búsetu [A] samrýmist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Í Persónuvernd, 16. mars 2021

Helga Þórisdóttir                                  Vigdís Eva Líndal