Vinnsla upplýsinga hjá Lögheimtunni og skráning Creditinfo Lánstrausts á upplýsingum um umdeilda skuld á vanskilaskrá talin óheimil

Mál nr. 2020010604

26.3.2021

Úrskurður

Hinn 10. mars 2021 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2020010604 (áður nr. 2019030762):

I.

Málsmeðferð

1.

Tildrög máls

Hinn 26. mars 2019 barst Persónuvernd kvörtun [A] (hér eftir nefnd kvartandi) yfir vinnslu persónuupplýsinga um sig hjá Lögheimtunni ehf. og Creditinfo Lánstrausti hf.

Nánar tiltekið er annars vegar kvartað yfir miðlun Lögheimtunnar ehf. á persónuupplýsingum kvartanda til fjárhagsupplýsingastofunnar Creditinfo Lánstrausts hf. og hins vegar er kvartað yfir skráningu Creditinfo Lánstrausts hf. á fjárhagsupplýsingum kvartanda á vanskilaskrá, þrátt fyrir að hún hafi sent fjárhagsupplýsingastofunni andmæli sín innan uppgefins frests.

2.

Bréfaskipti

Með bréfum, dags. 28. ágúst 2019, var Lögheimtunni ehf. og Creditinfo Lánstrausti hf. veitt færi á að tjá sig um kvörtunina. Svaraði Lögheimtan ehf. með bréfi, dags. 17. september s.á., og Creditinfo Lánstraust hf. með bréfi, dags. 18. s.m. Með bréfi, dags. 7. október 2019, var kvartanda boðið að tjá sig um efni framangreindra bréfa. Bárust athugasemdir kvartanda með bréfi, dags. 28. s.m. Þá óskaði Persónuvernd frekari skýringa á tilgreindum atriðum, með bréfi til Creditinfo Lánstrausts hf., dags. 8. desember 2020. Bárust svör fyrirtækisins hinn 5. janúar 2021.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þótt ekki sé gerð sérstaklega grein fyrir þeim öllum í þessum úrskurði.

Meðferð máls þessa hefur dregist vegna mikilla anna hjá Persónuvernd.

3.

Sjónarmið kvartanda

Kvartandi byggir kvörtun sína á því að Lögheimtunni ehf. hafi verið óheimilt að miðla persónuupplýsingum hennar til Creditinfo Lánstrausts hf. í þeim tilgangi að láta skrá hana á vanskilaskrá og að Creditinfo Lánstrausti hf. hafi verið óheimilt að skrá kvartanda á vanskilaskrá samkvæmt beiðni Lögheimtunnar ehf.

Nánar tiltekið byggir kvartandi í fyrsta lagi á að Lögheimtan ehf. hafi byggt kröfu sína á niðurstöðu héraðsdóms í máli kvartanda og miðlað henni áfram til Creditinfo Lánstrausts hf. þegar frestur til áfrýjunar dómsins hafi ekki verið liðinn. Í öðru lagi byggir kvartandi á því að Creditinfo Lánstraust hf. hafi birt upplýsingar um hana á vanskilaskrá fyrirtækisins þrátt fyrir andmæli hennar sem bárust fjárhagsupplýsingastofunni áður en uppgefinn frestur hafi verið liðinn.

Byggir kvartandi á því að hinn 17 daga frestur, sem tilgreindur hafi verið í tilkynningarbréfi fyrirtækisins, dags. 18. febrúar 2019, hafi ekki liðið fyrr en á miðnætti við upphaf dagsins 8. mars s.á. en ekki á miðnætti við upphaf dagsins 7. s.m., eins og Creditinfo Lánstraust hf. heldur fram. Kvartandi gerir því athugasemdir við að á þeirri stundu sem skráning á upplýsingum um hana á vanskilaskrá fór fram hafi enn verið heill sólarhringur eftir af tilgreindum fresti. Skráning Creditinfo Lánstrausts hf. á upplýsingum um kvartanda á vanskilaskrá hafi því farið fram áður en fresturinn var liðinn. Þá gerir kvartandi athugasemd við þá staðhæfingu Creditinfo Lánstrausts hf. að andmæli hennar vegna hinnar fyrirhuguðu skráningar hafi ekki borist fyrirtækinu fyrr en eftir að skráningin var birt í vanskilaskrá. Kvartandi kveður mótmæli hennar við skráningunni hafi borist fyrirtækinu 1,5 klst. áður en skráningin var birt og rúmum sólarhring áður en frestur til þess að gera athugasemdir var útrunninn.

Einnig gerir kvartandi athugasemdir við tilvísun til úrskurða Persónuverndar í máli nr. 2016/303 og 2017/1620. Í fyrra málinu sé grundvöllur máls gjörólíkur og gefi því ekki fordæmi í máli hennar. Varðandi tilvísun til úrskurðar Persónuverndar í máli nr. 2017/1620 vísar kvartandi til þess að þar hafi verið byggt á að endanleg úrlausn dómstóla hefði ekki legið fyrir þegar hin umdeilda skráning var gerð. Hins vegar hafi orðið tafir á meðferð málsins vegna mikilla anna hjá Persónuvernd og á meðan þeirri málsmeðferð stóð hafi verið kveðinn upp nýr dómur í héraði sem hafi verið áfrýjað til Landsréttar. Dómur Landsréttar hafi síðan staðfest niðurstöðu héraðsdóms. Þrátt fyrir að dómur Landsréttar í fyrrnefndu máli hafi legið fyrir þegar úrskurður Persónuverndar var kveðinn upp, hafi ekki verið leyst úr málinu á grundvelli þeirrar stöðu á þeim tíma, heldur þeirrar stöðu sem var uppi þegar kvörtunin var borin fram. Á þeim tímapunkti hafi aðeins legið fyrir dómur héraðsdóms, en tímafrestur og úrræði til að fá þeim dómi hnekkt hafi ekki verið tæmd. Í úrskurði Persónuverndar hafi eingöngu verið tekin afstaða til skráningar á vanskilaskrá frá þeim tíma sem skráningu var andmælt við Creditinfo Lánstraust hf. og fram að þeim tíma þegar kveðinn var upp dómur Landsréttar um ágreining aðilanna, en ekki eftir þann tíma enda hafi kvörtunin ekki náð til þess.

Kvartandi vísar enn fremur til þess að í forsendum úrskurðarins í máli nr. 2017/1620 kemur fram að með hliðsjón af markmiðum laga um persónuvernd telur Persónuvernd dóm, sem ekki felur í sér endanlega úrlausn í dómsmáli eða sem sætt getur endurskoðun, ekki geta falið í sér staðfestingu á skuld í skilningi starfsleyfisákvæðisins. Segir í forsendunum að það eigi jafnt við um dóm í máli sem fyrir liggur að verði endurupptekið, sem og dóm sem enn er hægt að áfrýja.

Kvartandi byggir því kvörtun sína einnig á því að Creditinfo Lánstrausti hf. hafi verið óheimilt að fallast á beiðni Lögheimtunnar ehf., um að skrá kröfu á hendur henni á vanskilaskrá, á tímabilinu 7.-13. mars 2019, í ljósi mótmæla hennar við skráningunni og þess að áfrýjunarfrestur dómsins hafi ekki verið liðinn.

Vísar kvartandi, máli sínu til stuðnings, til þess að dómur í máli hennar hafi verið kveðinn upp í Héraðsdómi […] hinn [dags.] 2019. Með bréfi, dags. 18. s.m., hafi Creditinfo Lánstraust hf. tilkynnt kvartanda um fyrirhugaða skráningu á vanskilaskrá vegna kröfu Lögheimtunnar ehf. og gefið henni kost á að andmæla skráningunni innan 17 daga, þ.e. fyrir 7. mars 2019. Kvartandi hafi mótmælt umræddri skráningu með erindi á þjónustuvefnum mitt.creditinfo.is, hinn 6. s.m., á grundvelli þess að áfrýjunarfrestur fyrrgreinds dóms til Landsréttar væri ekki liðinn. Creditinfo Lánstraust hf. hafi í kjölfarið óskað staðfestingar Lögheimtunnar ehf. á andmælum kvartanda og ástæðum að baki þeim eða staðfestingar kvartanda á áfrýjun málsins. Hinn 7. s.m. hafi krafan verið skráð á vanskilaskrá þvert gegn andmælum kvartanda og ekki afskráð fyrr en 12. s.m. þegar kvartandi hafi sent Creditinfo Lánstrausti hf. staðfestingu Landsréttar á áfrýjunarbeiðni hennar. Kvartandi andmælir sérstaklega því sjónarmiði Lögheimtunnar ehf. að sækja hafi þurft um áfrýjunarleyfi þar sem dómkröfur í máli kvartanda hafi ekki náð áfrýjunarfjárhæð. Með 152. og 153. gr. laga um meðferð einkamála nr. 91/1991 sé sérstaklega veitt heimild til að sækja um áfrýjunarleyfi í slíkum tilvikum og kvartandi hafi nýtt sér þá heimild. Hafi því verið eins ástatt fyrir kvartanda og kvartanda í máli nr. 2017/1620, þ.e. að leita hafi þurft áfrýjunarfrests í báðum málunum og að frestur til þess hafi ekki verið liðinn þegar færsla var birt á vanskilaskrá. Einnig að ekki skipti máli hvort úrlausn héraðsdóms sæti áfrýjun eða kæru beint til Landsréttar eða sækja þurfi um leyfi til þess, því um það gildi sami tímafrestur. Það sé því ekki fyrr en að liðnum þeim fresti eða eftir atvikum að fenginni niðurstöðu um leyfisbeiðni, sem fyrst geti legið ljóst fyrir hvort niðurstaða héraðsdóms verði endanleg eða ekki. Enn fremur mótmælir kvartandi sérstaklega sjónarmiðum Lögheimtunnar ehf. um að það varði einhverja mikilvæga þjóðfélagslega hagsmuni að geta skráð einstaklinga á vanskilaskrá þegar ljóst sé að þær kröfur sem byggt er á séu umdeildar og ekki hafi verið leyst endanlega úr þeim ágreiningi.

Kvartandi andmælir því einnig að miðlun upplýsinga Lögheimtunnar ehf. til Creditinfo Lánstrausts hf. hafi verið í samræmi við ákvæði persónuverndarlaga og starfsleyfi Creditinfo, enda hafi Lögheimtunni verið kunnugt um að áfrýjunarfrestur væri ekki liðinn og þýðingu hans þar sem Lögheimtan ehf. hafi staðið í málarekstri fyrir hönd gagnaðila kvartanda í umræddu dómsmáli og jafnframt í þeim málaferlum er úrskurður Persónuverndar í máli nr. 2017/1620 laut að. Einnig mótmælir kvartandi tilvísun Lögheimtunnar ehf. til úrskurðar Persónuverndar í máli nr. 2016/303 og ítrekar sjónarmið sín um að í fyrrgreindu máli séu forsendur gjörólíkar og því þýðingarlaust fordæmi fyrir úrlausn hennar máls.

Að lokum er því sjónarmiði hafnað sem þýðingarlausu að dómsúrlausnir séu hvort eð er birtar opinberlega á vefsíðu dómstólanna áður en áfrýjunarfrestur sé liðinn. Slík birting sé alls ekki algild og hafi hinn umræddi héraðsdómur, í máli kvartanda nr. E-[málsnúmer], ekki verið birtur á vefsíðum dómstólanna. Auk þess gildi reglur persónuverndarlaga einnig um slíka birtingu eins og ráða megi af úrskurðum Persónuverndar í málum nr. 2016/1783, 2017/711 o.fl., auk þess sem þær reglur nái einnig yfir miðlun þriðja aðila á upplýsingum um birta dóma sbr. úrskurð í máli nr. 2018/30.

4.

Sjónarmið Creditinfo Lánstrausts hf.

Creditinfo Lánstraust hf. vísar til þess að í grein 2.2. í gildandi starfsleyfi fyrirtækisins frá 29. desember 2017 (mál nr. 2017/1541) sé fjallað um hvaða upplýsingar megi skrá á vanskilaskrá fyrirtækisins. Þar á meðal séu upplýsingar dómstóla um skuldara skv. uppkveðnum dómum. Þá komi fram í sömu grein að skrá megi upplýsingar frá áskrifanda um að skuldara hafi með dómi, úrskurði eða áritaðri stefnu verið gert að greiða skuld. Í starfsleyfi fjárhagsupplýsingastofunnar sé einnig að finna ákvæði (grein 2.4.1 gr.) um það hvað skuli fræða hinn skráða um í umræddri tilkynningu. Þar sé meðal annars kveðið á um að ef ekki liggi fyrir nein staðfest réttargjörð, sem staðfesti réttleika upplýsinga um vanskil, skuli geta þess í fræðslu að þeim verði eytt af skránni, snúi viðkomandi sér til félagsins og andmæli tilvist kröfu eða fjárhæð hennar. Skráningin sem mál þetta varði hafi byggt á staðfestri réttargjörð, dómi héraðsdóms uppkveðnum [dags.] 2019.

Creditinfo Lánstraust hf. vísar einnig í bréfi sínu til greinar 2.4. í því starfsleyfi (mál. nr. 2016/1626) sem var í gildi þegar umrædd skráning var færð á vanskilaskrá. Þar segi að fjárhagsupplýsingastofa skuli senda hinum skráða tilkynningu um fyrirhugaða skráningu eigi síðar en 14 dögum áður en fyrirtækið miðlar upplýsingunum í fyrsta sinn. Það verklag hafi um árabil verið viðhaft hjá Creditinfo Lánstrausti hf. að veita rýmri frest í tilkynningum um fyrirhugaðar skráningar en kveðið er á um í starfsleyfisákvæðum. eða 17 daga. Í tilkynningum um fyrirhugaðar skráningar, sem póstlagðar eru sama dag eða daginn eftir að beiðni um skráningu hefur borist Creditinfo Lánstrausti hf., kemur fram að vanskil verði skráð á vanskilaskrá 17 dögum eftir dagsetningu bréfsins. Einnig sé sérstaklega tilgreind dagsetningin sem skráning á vanskilaskrá muni fara fram. Í umræddri tilkynningu, dagsettri 18. febrúar 2019, hafi dagsetningin 7. mars s.á. verið tilgreind sem sú dagsetning þegar mál kvartanda yrði skráð á vanskilaskrá. Þann 6. mars hafi því 17 dagar verið liðnir frá dagsetningu bréfsins en Creditinfo Lánstraust hf. líti svo á að upphaf dags hefjist á miðnætti. Ekki verði annað séð en að hinum skráða hafi mátt vera ljóst af skýru orðalagi bréfsins að fresturinn rynni út í lok dags 6. mars 2019. Ekki komi fram í tilkynningu fjárhagsupplýsingastofunnar klukkan hvað síðasta frestdag umræddur frestur líði, en hinn skráði megi gera ráð fyrir að allt frá upphafi þess dags, þ.e. frá miðnætti, geti hann átt von á að færslan fari á skrá. Þá sé ekki heldur tekið fram í tilkynningunni að athugasemdir og andmæli þurfi að berast fyrir lok hefðbundins skrifstofutíma ef bregðast eigi við þeim innan dagsins. Hins vegar kemur fram í bréfi Creditinfo Lánstrausts hf. að hafi fjárhagsupplýsingastofunni ekki borist upplýsingar um uppgjör máls eða andmæli vegna krafna sem ekki hafa verið staðfestar með opinberri réttargjörð á síðasta frestdegi eru færslur skráðar rafrænt á vanskilaskrá með næturkeyrslum, þ.e. á fyrirhuguðum skráningardegi. Berist andmæli við kröfu sem ekki hefur verið staðfest með opinberri réttargjörð er færslan afskráð að morgni næsta dag og áhrifum hennar eytt þannig að hún hafi ekki áhrif á lánshæfismat hins skráða.

Krafan sem um ræði hafi komið til skráningar hinn [dags.] 2019 frá Lögheimtunni ehf. sem sé áskrifandi hjá Creditinfo Lánstrausti hf. Í samræmi við grein 2.4 í starfsleyfi fyrirtækisins hafi kvartanda verið sent bréf þann 18. s.m. um fyrirhugaða skráningu þar sem fram hafi komið að ekki yrði af skráningu bærist fyrirtækinu staðfesting á uppgreiðslu kröfu innan 17 daga frá dagsetningu bréfsins, þ.e. fyrir 7. mars s.á. Þann 6. s.m. kl. 22.30 hafi kvartandi haft samband við Creditinfo Lánstraust hf. í gegnum þjónustuvefinn mitt.creditinfo.is og andmælt skráningu kröfunnar á þeirri forsendu að frestur til áfrýjunar væri ekki liðinn. Færslan hafi farið á skrá á miðnætti þann 7. mars og hafi andmælin því borist Creditinfo Lánstrausti hf. eftir að færslan hafi verið birt á vanskilaskránni.

Einnig vísar Creditinfo Lánstraust hf. til þess að í fylgiskjali með starfsleyfi útgefnu 28. febrúar 2017 sé fjallað um hvað teljist umdeildar skuldir í skilningi starfsleyfisins. Þar komi m.a. fram að Persónuvernd telji að þegar fyrir liggi dómur um greiðsluskyldu sem feli í sér viðurkenningu á kröfu og mæli fyrir um heimtur hennar með fullnustugerð, sé eðlilegt að líta svo á að slík staðfesting sé fyrir hendi. Jafnframt vísar Creditinfo Lánstraust hf. til þess að af úrskurði Persónuverndar í máli nr. 2016/303 megi ráða að ekki dugi að möguleiki sé á að fá aðfararhæfa ákvörðun endurskoðaða heldur þurfi eitthvað að liggja fyrir í því sambandi, svo sem að sýslumaður fallist á mótmæli gerðarþola.

Þá vísar Creditinfo Lánstraust hf. til þess að í máli nr. 2017/1620 hjá Persónuvernd, sem kvartandi vísar til til stuðnings málstað sínum, hafi legið fyrir að kvartandi hefði farið fram á endurupptöku dóms og fallist hefði verið á endurupptökubeiðnina. Því hefði hinn skráði, í því máli, stigið réttarlegt skref til þess að fá aðfararhæfri niðurstöðu hnekkt. Hafi Creditinfo Lánstrausts hf., eftir birtingu úrskurðar Persónuverndar í málinu, fylgt því verklagi að berist andmæli við skráningu uppkveðins dóms á þeirri forsendu að áfrýja eigi dómi, hvort heldur sem andmælin berist áður eða eftir að færsla hefur verið birt á vanskilaskrá, sé hún afskráð þegar fyrirtækinu hafi borist staðfesting á að sótt hafi verið um leyfi til áfrýjunar, þ.e. stigið hafi verið réttarlegt skref til að hnekkja aðfararheimildinni. Telur Creditinfo Lánstraust hf. þetta verklag vera í samræmi við starfsleyfi fyrirtækisins og hinum skráða í hag enda sé aðeins krafist staðfestingar á því að umsókn um áfrýjun hafi verið lögð fram óháð því hvort hún sé samþykkt. Færslan sé síðan skráð að nýju ef dómstóll hafnar umsókn um áfrýjunarleyfi eða æðri dómstóll staðfestir vanskil kröfu. Færsla kvartanda í máli þessu hafi verið afskráð þann 12. mars 2019, þegar staðfesting hafi borist fyrirtækinu um að kvartandi hefði sótt um áfrýjunarleyfi.

5.

Sjónarmið Lögheimtunnar ehf.

Lögheimtan ehf. vísar til þess að hún sé lögmannsstofa sem gæti hagsmuna skjólstæðinga sinna, hér Landsbankans hf. sem hafi verið stefnandi í tilvitnuðu héraðsdómsmáli. Hún hafi miðlað upplýsingum um fyrrgreinda dómsúrlausn til Creditinfo Lánstrausts hf. í samræmi við ákvæði laga um persónuvernd og vinnslu persónuupplýsinga nr. 90/2018 og 3. tölul. greinar 2.2.1 í starfsleyfi Creditinfo Lánstrausts hf. frá 29. desember 2017 þar sem segir að fyrirtækið megi safna upplýsingum um skuldir sem einstaklingum hafi verið gert að greiða með dómi, enda sé fjárhæð skuldarinnar a.m.k. 50.000 kr. að höfuðstól.

Röksemdum kvartanda um að vinnsla upplýsinga um niðurstöðu dómsins sé óheimil á grundvelli 3. mgr. greinar 2.1 í starfsleyfi Creditinfo Lánstrausts hf., þar sem segir að vinnsla upplýsinga um umdeildar skuldir sé óheimil, er mótmælt. Segir að í tilvitnuðu ákvæði sé sérstaklega tekið fram að skuld sé umdeild þegar hún „h[afi] ekki verið staðfest með aðfararhæfum dómi […]“.

Einnig byggir Lögheimtan ehf. á því að heimilt hafi verið að gera aðför fyrir kröfunni eftir dóminum þann 1. mars 2019, sbr. 1. mgr. 5. gr. laga nr. 90/1989 um aðför. Skráningin á vanskilaskrá hafi hins vegar ekki tekið gildi fyrr en nokkru síðar eða hinn 7. s.m. Því hafi skuldin ekki talist umdeild í neinum skilningi.

Jafnframt vísar Lögheimtan ehf. til fylgiskjals með starfsleyfi Creditinfo Lánstrausts hf. frá 28. febrúar 2017. Í því skjali sé sérstaklega fjallað um skuldir sem teljist umdeildar m.a. um að krafa sé ekki lengur umdeild þegar dómstóll hafi komist að niðurstöðu um greiðsluskyldu enda segi Persónuvernd þar að krafa teljist vera óumdeild þegar ákvörðun sýslumanns hafi verið felld úr gildi. Því virðist skilningur Persónuverndar af framangreindu vera sá að fram að þeim tíma sem sú ákvörðun er felld úr gildi teljist hún vera umdeild, jafnvel þótt mál til ógildingar ákvörðunar sýslumanns sé til meðferðar hjá héraðsdómi. Þar sem dómur héraðsdóms um greiðsluskyldu verði að teljast sterkari staðfesting um réttmæti kröfu en ákvörðun sýslumanns hljóti sömu sjónarmið að ráða í þessu máli.

Þá vísar Lögheimtan ehf. til þess að héraðsdómi þeim er um ræðir í máli þessu hafi ekki verið hægt að áfrýja án áfrýjunarleyfis, sbr. 152. og 153. gr. laga um meðferð einkamála nr. 91/1991. Kvartandi hafi óskað áfrýjunarleyfis 12. mars 2019 en beiðni hennar hafi verið hafnað með ákvörðun Landsréttar […]s.á.

Að endingu tekur Lögheimtan ehf. fram að það sé Creditinfo Lánstraust hf. sem sé ábyrgðaraðili að vanskilaskránni og að því sé það í verkahring þess fyrirtækis að sjá til þess að færa upplýsingar um niðurstöðu héraðsdóms á vanskilaskrá þegar áfrýjunarfrestur er liðinn reynist það niðurstaða Persónuverndar að það hafi verið ólögmætt fyrir þann tíma. Lögheimtan ehf. hafi eingöngu miðlað Creditinfo Lánstrausti hf. þeim upplýsingum að með umræddum dómi, sem fallið hafi tiltekinn dag, hafi kvartanda verið gert að greiða tiltekna höfuðstólsfjárhæð.

Mál þetta hefur tafist vegna mikilla anna Persónuverndar.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679 (hér eftir nefnd reglugerðin), sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Mál þetta lýtur annars vegar að miðlun Lögheimtunnar ehf. fyrir hönd Landsbankans hf. á upplýsingum um kvartanda úr dómi Héraðsdóms […] frá [dags.] 2019 í máli nr. E-[málsnúmer] til Creditinfo Lánstrausts hf. og hins vegar að skráningu Creditinfo Lánstrausts hf. á upplýsingunum á vanskilaskrá. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar.

Fyrir liggur að Lögheimtan ehf. miðlaði upplýsingum um kvartanda til skráningar hjá Creditinfo Lánstrausti hf. en einnig að sú miðlun var þáttur í störfum fyrirtækisins fyrir Landsbankann hf. Í því sambandi ber að líta til stöðu Lögheimtunnar ehf. sem innheimtuaðila samkvæmt innheimtulögum nr. 95/2008, m.a. til skyldu slíks aðila til að afla leyfis til starfsemi sinnar samkvæmt 4. gr. laganna, svo og til kaupa á starfsábyrgðartryggingu samkvæmt 14. gr. laganna. Eins og fram kemur í úrskurði Persónuverndar nr. 2016/1687 verður af þessu ályktað að gert sé ráð fyrir sjálfstæðum ákvörðunum innheimtuaðila um hvernig innheimtu sé háttað. Í ljósi þess telur Persónuvernd Lögheimtuna ehf. vera ábyrgðaraðila að þeirri vinnslu persónuupplýsinga sem fólst í miðlun persónuupplýsinga um kvartanda til Creditinfo Lánstrausts hf. Það fyrirtæki telst hins vegar vera ábyrgðaraðili að skráningu persónuupplýsinga kvartanda á vanskilaskrá þess.

2.

Lögmæti vinnslu – Umdeildar skuldir

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018. Litið hefur verið svo á að vinnsla upplýsinga um fjárhagsmálefni og lánstraust geti meðal annars átt sér stoð í 6. tölul. þeirrar greinar, þ.e. á þeim grundvelli að vinnslan sé nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða vegi þyngra.

Að auki verður, eins og ávallt þegar unnið er með persónuupplýsingar, að fara að öllum grunnkröfum 8. gr. laga nr. 90/2018, þ. á m. um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingum, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli eyða eða leiðrétta án tafar (4. tölul.).

Samkvæmt 1. mgr. 2. gr. reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, sbr. nú 2. mgr. 15. gr. laga nr. 90/2018, er söfnun og skráning slíkra upplýsinga um einstaklinga, í því skyni að miðla þeim til annarra, óheimil án leyfis Persónuverndar. Tekið er fram í 1. mgr. 3. gr. reglugerðarinnar að handhafa slíks leyfis, sem nefndur er fjárhagsupplýsingastofa, sé einungis heimilt að vinna með upplýsingar sem eðli sínu samkvæmt hafa afgerandi þýðingu við mat á fjárhag og lánstrausti hins skráða.

Creditinfo Lánstraust hf. hefur með höndum vinnslu persónuupplýsinga á grundvelli leyfa Persónuverndar samkvæmt reglugerð nr. 246/2001, sbr. nú leyfi, dags. 29. desember 2017 (mál nr. 2017/1541), sem í gildi var þegar atvik máls þessa áttu sér stað. Samkvæmt 3. mgr. greinar 2.1 í leyfinu er vinnsla upplýsinga um umdeildar skuldir óheimil. Það á meðal annars við ef skuldari hefur sannanlega komið andmælum við skuld á framfæri við kröfuhafa, greint honum frá ástæðu andmælanna og skuldin hefur ekki verið staðfest með aðfararhæfum dómi.

Við mat á því hvort krafa kvartanda hafi verið umdeild þegar upplýsingum um hana var miðlað til Creditinfo Lánstrausts hf. og hún færð á vanskilaskrá, í skilningi fyrrgreinds starfsleyfisákvæðis, ber annars vegar að meta hvort kvartandi hafi andmælt umræddri skráningu og greint frá ástæðu andmælanna og hins vegar hvort krafan hafi verið staðfest þegar upplýsingar um kvartanda voru færðar á skrá.

Fyrir liggur að hinn [dags.] 2019 var kveðinn upp dómur í máli kvartanda nr. E-[málsnúmer] í Héraðsdómi […] og hafði hún þá fjórar vikur til að leita áfrýjunarleyfis til Landsréttar. Hinn [dags.]. s.m. sendi Lögheimtan ehf. upplýsingar um kröfu samkvæmt fyrrgreindri dómsniðurstöðu til Creditinfo Lánstrausts hf. til skráningar á vanskilaskrá fyrirtækisins eða […] áður en áfrýjunarfrestur dómsins eða frestur til að sækja um áfrýjunarleyfi var liðinn. Kvartanda var sent bréf um hina fyrirhuguðu skráningu degi síðar, eða 18. s.m., og gefinn kostur á að andmæla skráningunni innan 17 daga eða fyrir 7. mars s.á. Hinn 6. s.m. sendi kvartandi erindi inn á mitt.creditinfo.is og afrit á netfang Lögheimtunnar ehf. þar sem hún andmælti skráningunni á þeim grundvelli að áfrýjunarfrestur fyrrgreinds héraðsdóms væri ekki liðinn. Við upphaf næsta sólarhrings, þ.e. þess 7. s.m., skráði Creditinfo Lánstraust hf. kröfu kvartanda á vanskilaskrá fyrirtækisins.

Samkvæmt 3. mgr. greinar 2.1 í starfsleyfinu nægir ekki að dómur sé aðfararhæfur til að krafa sé ekki umdeild heldur verður dómurinn jafnframt að fela í sér staðfestingu á kröfunni. Starfsleyfisákvæðið ber að túlka í ljósi þess markmiðs laga nr. 90/2018 að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs og að tryggja áreiðanleika og gæði slíkra upplýsinga, sbr. 1. mgr. 1. gr. laganna. Þegar litið er til þessa telur Persónuvernd dóm, sem ekki felur í sér endanlega úrlausn í dómsmáli eða sem sætt getur endurskoðun, ekki geta falið í sér staðfestingu á skuld í skilningi starfsleyfisákvæðisins. Á það jafnt við um dóm í máli sem fyrir liggur að verði endurupptekið, sem og dóm sem enn er unnt að áfrýja, sbr. einnig túlkun Persónuverndar frá 25. janúar 2019 í máli nr. 2017/1620, á umræddu starfsleyfisákvæði.

Til þess að álykta megi að dómsniðurstaða feli í sér staðfestingu á kröfu verður áfrýjunarfrestur til æðri dómstóls, þar sem komið getur til endurskoðunar kröfunnar, að vera liðinn. Sé dómi áfrýjað verður dómsniðurstaða ekki staðfest eða hnekkt fyrr en með niðurstöðu æðri dómstóls. Líði áfrýjunarfrestur án þess að dómi sé áfrýjað telst sú dómsniðurstaða staðfest.

Fyrir liggur að áfrýjunarfrestur héraðsdóms í máli kvartanda rann ekki út fyrr en þann [dags.] 2019. Því verður ekki séð að umrædd dómsniðurstaða hafi falið í sér staðfestingu á kröfu kvartanda þegar persónuupplýsingum um fjárhagsmálefni hennar var miðlað frá Lögheimtunni ehf. til Creditinfo Lánstrausts hf. og þær færðar á vanskilaskrá þess fyrirtækis þann 7. s.m. Þá ber að líta svo á að í erindi kvartanda, hinn 6. mars 2019, hafi falist andmæli við skuld sem fullnægi kröfum fyrrgreinds starfsleyfisákvæðis um umdeildar skuldir og að bann við vinnslu upplýsinganna hafi virkjast við móttöku þeirra.

Með vísan til þessa og annars framangreinds er niðurstaða Persónuverndar sú að Lögheimtunni ehf. hafi verið óheimilt að miðla persónuupplýsingum um kvartanda úr dómi Héraðsdóms […] nr. E-[málsnúmer] til Creditinfo Lánstrausts hf. þegar áfrýjunarfrestur var ekki liðinn. Einnig að Creditinfo Lánstrausti hf. hafi verið óheimilt að skrá og hafa upplýsingar um kröfu kvartanda á vanskilaskrá Creditinfo Lánstrausts hf. frá þeim degi sem þær voru skráðar, þ.e. 7. mars 2019 til 12. s.m., þegar fyrirtækið afskráði upplýsingar kvartanda á skránni.

Eins og mál þetta er vaxið er niðurstaða Persónuverndar sú að ekki séu forsendur til beitingar sektarheimildar, sbr. 46. gr. laga nr. 90/2018, vegna framangreinds.

3.

Frestur til andmæla

Af hálfu Creditinfo Lánstrausts hf. kemur fram að kvartandi hafi sent andmæli sín, í gegnum þjónustuvefinn mitt.creditinfo.is, þann 6. mars 2019 kl. 22.30, vegna fyrirhugaðrar skráningar kröfu á hendur henni á vanskilaskrá fyrirtækisins. Andmæli kvartanda hafi hins vegar ekki borist fyrirtækinu fyrr en eftir miðnætti, þ.e. eftir að skráning kröfunnar á vanskilaskrá hafi farið fram.

Fyrir liggur að Creditinfo Lánstraust hf. sendi kvartanda tilkynningu um fyrirhugaða skráningu á vanskilaskrá, [dags.] 2019. Með tilkynningunni veitti fjárhagsupplýsingastofan kvartanda 17 daga frest, frá dagsetningu bréfsins, til þess að andmæla skráningunni.

Í 1. mgr. 8. gr. stjórnsýslulaga nr. 37/1993 segir að þar sem kveðið sé á um frest í lögum teljist sá dagur, sem fresturinn er talinn frá, ekki með í frestinum. Ljóst er að þetta ákvæði varðar fresti á sviði stjórnsýslu og að starfsemi Creditinfo Lánstrausts ehf. getur ekki talist falla þar undir með beinum hætti. Hins vegar er ljóst að margt í starfsemi Creditinfo Lánstrausts hf. er í eðli sínu skylt stjórnsýslu í ljósi þeirra krafna sem um hana gilda, þ. á m. samkvæmt starfsleyfisskilmálum, og telur Persónuvernd að í tengslum við fresti í aðdraganda skráningar hjá fyrirtækinu beri að hafa ákvæðið til hliðsjónar þannig að frestlengd reiknist út í samræmi við reglu þess.

Vísað er til þess af hálfu Creditinfo Lánstrausts hf. að samkvæmt grein 2.4 í starfsleyfi skal hinum skráða send tilkynning um fyrirhugaða skráningu eigi síðar en 14 dögum áður en fyrirtækið miðlar upplýsingunum í fyrsta sinn. Þá tekur Creditinfo Lánstraust hf. fram að fyrirtækið veiti í tilkynningum sínum 17 daga frest frá dagsetningu bréfs, svo og að í bréfi til kvartanda, [dags.] 2019, hafi dagsetningin 7. mars s.á. verið tilgreind sem sú dagsetning þegar mál kvartanda yrði skráð á vanskilaskrá.

Persónuvernd telur hér verða að líta til þess að skráning á vanskilaskrá er íþyngjandi fyrir hinn skráða og að meðal annars þess vegna verður að túlka allan vafa um fyrirhugaða færslu upplýsinga á skrána hinum skráða í hag. Telur Persónuvernd jafnframt að það að Creditinfo Lánstraust hf. veiti hinum skráða rýmri frest en skylt er breyti því ekki. Þá er til þess að líta að það er á ábyrgð ábyrgðaraðila að gera viðeigandi ráðstafanir til að láta skráðum einstaklingi í té nægar upplýsingar í tengslum við vinnslu á persónuupplýsingum um hann á gagnsæju, skýru og aðgengilegu máli, sbr. 1. mgr. 12. gr. reglugerðarinnar, svo að hann geti brugðist við og gætt hagsmuna sinna með fullnægjandi hætti, en um þessa fræðsluskyldu ábyrgðaraðila, í þessu tilviki fjárhagsupplýsingastofu, er einnig fjallað í grein 2.4 í starfsleyfinu. Leiki vafi á um hvenær frestur til að andmæla skráningu renni út verður slík stofa að bera hallann af því og túlka vafann hinum skráða í vil. Á þetta sjónarmið við um þá tilkynningu sem Creditinfo Lánstraust hf. sendi kvartanda og það misræmi sem fram kemur í orðalagi tilkynningarinnar, þ.e. að annars vegar hafi staðið að upplýsingar yrðu færðar á skrá þegar liðnir væru 17 dagar frá dagsetningu bréfs en að jafnframt hafi sagt að færsla á skrána færi fram deginum áður en vera átti miðað við þennan 17 daga frest.

Í samræmi við framangreint byrjaði frestur kvartanda til að hafa uppi andmæli ekki að líða fyrr en [dags.] 2019, daginn eftir dagsetningu tilkynningar Creditinfo Lánstrausts hf. og lauk því ekki fyrr en að liðnum 7. mars s.á., þ.e. við upphaf sólarhringsins 8. s.m. Móttók Creditinfo Lánstraust hf. því andmæli kvartanda rúmum sólarhring áður en frestur til andmæla var liðinn. Óháð því hvort um ræddi umdeilda kröfu, sbr. umfjöllun þar að lútandi í 2. kafla hér að framan, var því óheimilt að færa upplýsingarnar á skrá á umræddum tíma.

Ú r s k u r ð a r o r ð:

Óheimilt var að hafa upplýsingar um kröfu á hendur [A], sem dæmd var [dags.] 2019 í Héraðsdómi […], í máli nr. E-[málsnúmer], á vanskilaskrá Creditinfo Lánstrausts hf. frá 7. til 12. mars 2019.

Miðlun Lögheimtunnar ehf. á upplýsingum um kvartanda til færslu þeirra á vanskilaskrá Creditinfo Lánstrausts hf., svo og færsla þess fyrirtækis á upplýsingunum á skrána hinn 7. mars 2019, samrýmdist ekki lögum nr. 90/2018.

Í Persónuvernd, 10. mars 2021

Ólafur Garðarsson
starfandi formaður

Björn Geirsson                           Vilhelmína Haraldsdóttir

Þorvarður Kári Ólafsson