Uppfletting í vanskilaskrá Lánstrausts ólögmæt
Þann 27. febrúar 2006 komst stjórn Persónuverndar að svohljóðandi niðurstöðu í máli nr. 2005/517:
Grundvöllur málsins
Þann 23. september 2005 barst kvörtun frá A yfir því að B aflaði upplýsinga um sambýliskonu hans, D, úr vanskilaskrá Lánstrausts hf. Með yfirlýsingu gefinni á skrifstofu Persónuverndar þann 23. febrúar sl. ítrekaði D, hér eftir nefnd kvartandi, kvörtunina og áréttaði kröfu sína um að stofnunin skæri úr um lögmæti framangreindrar upplýsingaöflunar.
Í kvörtuninni kemur fram að tilefni þess að D var flett upp í umræddri skrá var að A hafði sótt um bílalán og tölvukaupalán hjá E en verið hafnað vegna þess að D var á vanskilaskrá Lánstrausts. hafði ekki gengist í ábyrgð fyrir fyrirhuguðum skuldbindingum A, hann var einn eigandi þess húss sem þau búa í, kennitala D kom ekki fram á lánsumsókninni og hún hafði ekki veitt samþykki sitt.
Í símtali starfsmanns Persónuverndar við kvartanda þann 28. september 2005 kom fram að þegar hún hafi rætt við E til að fá nánari skýringar hafi hún fengið þau svör að í raun hafði B framkvæmt uppflettinguna en ekki E. Þessir aðilar hefðu með sér samstarf um lánafyrirgreiðslu, m.a. varðandi bílalán. Í framhaldi af þessu óskaði Persónuvernd eftir skýringum frá B með bréfum, dags. 6. október og 5. desember 2005. Þann 12. desember s.á. barst Persónuvernd svar frá F hdl. f.h. B. Þar eru rakin þau rök og þær heimildir sem B telur vera fyrri umræddri uppflettingu. Í bréfinu segir m.a.:
Hvað varðar ósk Persónuverndar um að stofnuninni berist upplýsingar um þær heimildir í 7. og 8. gr. laga nr. 77/2000 sem [B] byggir umrædda vinnslu sína á, vill félagið upplýsa um eftirfarandi:
[B] er þjónustufyrirtæki sem veitir almenningi og fyrirtækjum aðstoð við fjármögnun atvinnutækja og einkabifreiða. Félagið veitir þessa þjónustu á grundvelli starfsleyfis frá Fjármálaeftirlitinu í samræmi við lög um fjármálafyrirtæki, nr. 161/2002. Samkvæmt starfsleyfinu og lögunum, sbr. t.d. 17. gr. þeirra, ber [B] að viðhafa tryggt eftirlit með áhættu í tengslum við alla starfsemi sína, einkum áhættu af því að útlán tapist vegna ógjaldfærni lánþega. Þessi lögboðna skylda til að viðhafa trygga áhættustjórnun tengist svo öðrum lagaskyldum félagsins sem lúta að réttum útreikningi eiginfjárhlutfalls félagsins, sbr. X. kafla laganna, en sá útreikningur tekur mið af áhættugrunni félagsins, sbr. einkum 84. gr. laganna og reglum nr. 530/2003 og 530/2004. Til þess að rækja lagaskyldu sína um virka áhættustjórnun útlána fer félagið þess meðal annars á leit við tilvonandi lánþega að áður en tekin verði afstaða til lánveitingarinnar veiti þeir samþykki sitt fyrir því að [B] megi skoða upplýsingar um atriði sem séu líkleg til að hafa áhrif á færni þeirra til að endurgreiða lánin sín. Félagið hefur nú starfað í tæp tuttugu ár og hefur sú langa reynsla leitt með skýrum hætti í ljós hver þessi atriði eru, það er hvað hefur einkum áhrif á getu manna til að standa við lánaskuldbindingar sínar. Reynslan sýnir að nýlegur greiðsluvandi lánþega, sem birtist einkum í aðfarargerðum eða öðrum sambærilegum fullnustuaðgerðum, er ein helsta vísbending um að lánsumsækjandi muni ekki geta staðið við frekari fjárskuldbindingar og því sé óvarlegt að verða við umsókn hans um lán. Hins vegar veita ýmis önnur atriði allt að því jafn áreiðanlegar vísbendingar um að tilvonandi lánþegi muni ekki geta staðið undir því að taka á sig nýtt lán. Þar á meðal hefur bág greiðslufærni maka og sambýlisfólks lánsumsækjenda reynst vera afar sterk vísbending um að umsækjandanum kunni að reynast erfitt að endurgreiða nýtt lán. Svo virðist sem þegar annað hjóna eða sambúðarfólks tapar greiðslufærni sinni, þá lendi sú fjárhagslega byrði sem sambúð eða hjúskapur hefur í för með sér, skiljanlega af miklum þunga á þeim sem betur stendur fjárhagslega. Sú byrði hefur þar af leiðandi einkar neikvæð áhrif á lánshæfni þess einstaklings. Ef [B] veitti slíkum einstaklingum lán án þess að taka tillit til þessa veigamikla atriðis væri félagið að bregðast skyldum sínum við að meta á ábyrgan hátt þá áhættu sem fylgir útlánum og myndi með slíku sinnuleysi velta kostnaði af töpuðum útlánum yfir á aðra einstaklinga og fyrirtæki sem þurfa á þjónustu þessari að halda. Að auki væri vafasamt að slík háttsemi uppfyllti skyldur félagsins samkvæmt starfsleyfi þess og viðeigandi ákvæðum laga um fjármálafyrirtæki. Því er [B] tvímælalaust nauðsynlegt að vinna með áhættu sem stafar af útlánum félagsins. Þess vegna fer umrædd vinnsla annars vegar fram með stoð í 3. tl. 8. gr. laga nr. 77/2000.
Samkvæmt framansögðu er ljóst að til þess að geta veitt einstaklingum umrædda þjónustu og geta jafnframt uppfyllt lagaskyldur sínar er [B] nauðsynlegt að fá áreiðanlegar upplýsingar til að byggja lánshæfismat sitt á. Í því skyni er undantekningarlaust leitað eftir fyrirfram samþykki lánsumsækjenda fyrir slíkri upplýsingaöflun um þau atriði sem eru helst til þess fallin að hafa áhrif á lánshæfi hans. Meðal mikilvægari atriða af þessu tagi er það hvort maki eða sambýlismaður/-kona umsækjandans eigi í verulegum fjárhagsörðugleikum, en það má jafnan ráða af því hvort viðkomandi er á skrá um opinberar aðfarargerðir, það er núorðið vanskilaskrá Lánstrausts hf. Þar sem slíkar upplýsingar snerta hins vegar ekki einungis umsækjendur, heldur eru jafnframt persónuupplýsingar um viðkomandi maka eða sambúðarfólk, hefur [B] viðhaft mat á því hvort hagsmunir hinna skráðu maka og sambúðaraðila af því að umrædd vinnsla fari ekki fram vegi þyngra en þeir lögvörðu hagsmunir sem felast í því að lánshæfi umsækjenda sé rétt metið og að lánastarfsemi þessi sé stunduð innan ramma viðeigandi laga og starfsleyfis. Þar sem umrædd vinnsla er takmörkuð við það eitt að skoða hvort makar og sambúðarfólk lánsumsækjenda séu á vanskilaskrá, að þess er vandlega gætt að engin skráning um niðurstöður þeirrar skoðunar eigi sér stað hjá [B] og að engin frekari vinnsla umræddra upplýsinga á sér stað af þessu tilefni, telur félagið að þeir hagsmunir sem felast í að umrædd þjónusta sé veitt með fljótlegum og öruggum hætti vegi hér þyngra. Því sækir [B] heimild sína til þessarar takmörkuðu vinnslu persónuupplýsinga maka og sambúðarfólks lánsumsækjenda sinna einkum til 7. tl. 1. mgr. 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. umfjöllun um ákvæðið í greinargerð með frumvarpi sem varð að þeim lögum.
Hvað varðar 7. gr. persónuverndarlaganna, þá er þeim meginreglum fylgt í hvívetna við umrædda vinnslu. Einungis er leitað umræddra upplýsinga með því að kanna hvort viðkomandi makar eða sambúðarfólk sé skráð á vanskilaskrá Lánstrausts hf., sem starfar samkvæmt starfsleyfi frá Persónuvernd. Eftir að sú könnun hefur farið fram fer engin frekari vinnsla fram með upplýsingarnar af þessu tilefni. Með þessu er leitast við að tryggja að einungis sé unnið með upplýsingarnar með sanngjörnum, málefnalegum og lögmætum hætti, sbr. 1. tl. 7. gr. Í því skyni að tryggja vandaða vinnsluhætti persónuupplýsinga, sbr. 1. tl. i.f., er við vinnsluna einungis nýttur opinberlega viðurkenndur hugbúnaður auk sérstakra hugbúnaðarkerfa [B], einkum sjálfvirkt bílaforrit félagsins, til að kalla eftir upplýsingum úr kerfum Lánstrausts hf. Eins og rakið er hér að framan er umræddra upplýsinga einungis aflað í þeim skýra, yfirlýsta og málefnalega tilgangi að meta hvert sé lánshæfi umsækjenda um lán hjá félaginu og um enga vinnslu í neinum öðrum og ósamrýmanlegum tilgangi er að ræða, sbr. 2. tl. 7. gr. . Með því að undanskilja ekki þau áhrif sem ógreiðslufærni maka og sambýlisfólks hefur á lánshæfi umsækjenda, er [B] beinlínis að leitast við að tryggja að þær upplýsingar sem matið byggir á séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tl. 7. gr. Félagið byggir umrædda vinnslu einungis á upplýsingum úr opinberlega viðurkenndum skrám, þ.e. vanskilaskrá Lánstrausts hf. og leitast þar með við að tryggja að upplýsingarnar séu áreiðanlegar og uppfærðar eftir þörfum, sbr. 4. tl. 7. gr., auk þess að áskilja í eigin vinnureglum að tekið verði fullt tillit til hverra þeirra leiðréttinga sem fram kunna að koma í óáreiðanlegum eða ófullkomnum upplýsingum. Loks er það ófrávíkjanleg regla af hálfu [B], í samræmi við ákvæði 5. tl. 7. gr. laganna, að engar persónugreinanlegar upplýsingar verði varðveittar um maka eða sambúðarfólk, eftir að niðurstaða um mat á lánshæfi hefur verið kynnt umsækjanda."
Með bréfum dags. 14. desember 2005 var svari B komið á framfæri við kvartanda og honum boðið að koma athugasemdum á framfæri. Þann 23. febrúar sl. kom kvartandi á skrifstofu Persónuverndar og gaf eftirfarandi yfirlýsingu:
Ég hafði ekki gengist í ábyrgð fyrir fyrirhuguðum skuldbindingum [A] né hafði ég veitt samþykki mitt fyrir uppflettingunni.
Ég tel ekkert í bréfi [B] gefa mér ástæðu til að gera sérstakar athugasemdir, enda ekkert í bréfi félagsins sem haggar þeirri skoðun minni að uppflettingin hafi verið ólögmæt. Því vil ég hér með ítreka kröfu mína um að Persónuvernd taki efnislega afstöðu til þess hvort framangreind uppfletting hafi verið í samræmi við lög um persónuupplýsingar."
Forsendur og niðurstaða
1.
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, skv. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið "vinnsla" er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, skv. 2. tölul. 2. gr. laganna. Með vinnslu er t.d. átt við söfnun og skráningu og undir það fellur m.a. rafræn vöktun, flokkun, varðveisla, breyting, leit, miðlun, samtenging eða hver sú aðferð sem nota má til að gera upplýsingar tiltækar, sbr. athugasemdir í greinargerð með frumvarpi því er varð síðar að lögum nr. 77/2000.
Með vísun til framangreinds verður að telja að sú aðgerð B að leita og fá fjárhagsupplýsingar um D úr skrá Lánstrausts hf. hafi falið í sér vinnslu persónuupplýsinga og fellur mál þetta þar með undir gildissvið laga nr. 77/2000.
Öll vinnsla persónuupplýsinga verður að eiga sér stoð í lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Samkvæmt lögunum þarf vinnsla almennra persónuupplýsinga, s.s. upplýsinga um fjárhagsmálefni og lánstraust, að eiga sér stoð í einhverjum af töluliðum 1. mgr. 8. gr. laganna gilda um vinnslu. Enda þótt söfnun og miðlun fjárhagsupplýsinga um einstaklinga í því skyni að miðla þeim til annarra hafi, að viðeigandi skilyrðum uppfylltum, verið talin geta átt sér stoð í vissum töluliðum 1. mgr. 8. gr. laga nr. 77/2000, hefur Persónuvernd ákveðið að slík vinnsla skuli engu að síður teljast leyfisskyld, sbr. 4. tölul. 1. mgr. 7. gr.reglna nr. 698/2004 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga, sem settar eru samkvæmt heimild í 31., 32. og. 33. gr. laga nr. 77/2000. Lánstrausti hf. hafa verið veitt slík leyfi. Í 7. gr. gildandi leyfis er sérregla varðandi samningsgerð við áskrifendur, og samræmi við hana segir í 11. gr. áskriftarskilmála Lánstrausts hf. að upplýsingar úr skrám félagsins megi eingöngu nota við könnun á lánstrausti, í tengslum við væntanleg eða yfirstandandi viðskipti, standi til þess lögvarðir hagsmunir.
Fyrir liggur að B er áskrifandi að skrám Lánstrausts hf. og aflaði úr þeim upplýsinga um kvartanda. Tilefni þess var að sambýlismaður hennar hafði sótt um bílalán og tölvukaupalán hjá E en verið hafnað er í ljós kom að nafn kvartanda var á vanskilaskrá Lánstrausts. Lögmæti þessarar upplýsingaöflunar ræðst af því hvort hún hafi verið heimil samkvæmt einhverjum þeirra töluliða sem eru í 1. mgr. 8. gr. laga nr. 77/2000 og verið í samræmi við skuldbindingar B samkvæmt samningi félagsins við Lánstraust hf.
Við athugun á lögmæti öflunar upplýsinga um upplýsingar um fjárhagsmálefni og lánstraust einstaklinga, hefur einkum verið litið til 1., 2., 3. eða 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Verður nú farið yfir þessa töluliði og metið hvort telja megi að sú vinnsla sem um er deilt í máli þessu hafi uppfyllt einhvern þeirra
2.1. Samþykki hins skráða
Samkvæmt 1. tölul. 1. mgr. 8. gr. telst vinnsla persónuupplýsinga heimil ef hinn skráði hefur samþykkt hana. Af lýsingu á málsatvikum verður ekki ráðið að þessu skilyrði hafi verið fullnægt. Í framangreindu bréfi B, dags. 5. desember 2005, er því ekki haldið fram að D hafi samþykkt umrædda uppflettingu. Í bréfinu segir hins vegar:
Ekkert hefur komið fram um að hinn skráði, D, hafi veitt samþykki sitt fyrir umræddri upplýsingavinnslu. Tekið skal fram að einungis hinn skráði, þ.e. sá sem upplýsingar fjalla um, getur samþykkt vinnslu persónuupplýsinga um sig. Af því leiðir að annar sambúðaraðili getur ekki heimilað vinnslu upplýsinga um hinn sambúðaraðilann nema hafa til þess umboð frá viðkomandi. Ekkert liggur fyrir um að svo hafi verið í þessu máli.
2.2. Samningur
Samkvæmt 2. tölul. 1. mgr. 8. gr. getur vinnsla persónuupplýsinga verið heimil ef hún er nauðsynleg til að efna samning sem hinn skráði er aðili að eða til að gera ráðstafanir að beiðni hins skráða áður en samningur er gerður. Ákvæðið getur til að mynda átt við ef fyrir liggur samningur milli lánastofnunar og viðskiptavinar þar sem gerður er fyrirvari um uppflettingar á vanskilaskrá. Af atvikum þessa máls verður hins vegar hvorki ráðið að slíkur samningur hafi legið fyrir milli B og D, né að hún hafi sóst eftir slíkum samningi við félagið.
2.3. Lagaskylda
Samkvæmt 3. tölul. 1. mgr. 8. gr. getur vinnsla persónuupplýsinga verið heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. B rekur í bréfi sínu, dags. 5. desember 2005, tiltekin ákvæði laga og reglugerða um skyldu fyrir félagið til að meta þá áhættu sem kunni að fylgja einstökum lánveitingum. Félagið telur þessi lagaákvæði jafngilda heimild til vinnslu í skilningi 3. tölul. 1. mgr. 8. gr.
B vísar m.a. til 17. og 84. gr. laga nr. 161/2002 um fjármálafyrirtæki, reglna nr. 530/2003 um eiginfjárhlutfall fjármálafyrirtækja og reglna nr. 530/2004 um viðmið Fjármálaeftirlitsins um mat á áhættu fjármálafyrirtækja og ákvörðun um eiginfjárhlutfall umfram lögbundið lágmark. Ákvæði 17. gr. laganna fjallar um eftirlitskerfi með áhættu og hljóðar svo:
Í ákvæði 84. gr. laganna er m.a. skilgreint hvernig áhættugrunnur fyrirtækis skuli metinn. Fyrirmæli varðandi viðmið um eiginfjárhlutfall fjármálafyrirtækja og viðmið við mat á ákvörðun um eiginfjárhlutfall umfram lögbundið lágmark er að finna í reglum nr. 530/2003 og 530/2004.
Í frumvarpi því sem varð að lögum nr. 77/2000 segir að með lagaskyldu í skilningi 3. tölul. 1. mgr. 8. gr. sé átt við hvers konar skyldu sem leiðir af lagasetningu, m.a. skyldur samkvæmt reglugerðum eða öðrum stjórnvaldsfyrirmælum sem eiga sér stoð í lögum. Einnig segir að undir hugtakið falli skyldur samkvæmt dómi eða stjórnvaldsúrskurði. Ekki er fjallað um það hversu skýr slík lagaákvæði þurfi að vera, sbr. hins vegar athugasemdir við 2. tölul. 1. mgr. 9. gr. Engu að síður verður 3. tölul. 1. mgr. 8. gr. vart túlkaður svo rúmt að hann geti skapað heimild til hvers konar vinnslu almennra persónuupplýsinga þótt með rökum megi sýna fram á að vinnslan þjóni því markmiði að uppfylla tiltekna lagaskyldu.
Með vísan til efnis ákvæða 17. og 84. gr. laga nr. 161/2002 um fjármálafyrirtæki verður ekki séð að þau feli í sér lagaskyldu til tiltekinnar vinnslu persónuupplýsinga í skilningi 3. tl. 1. mgr. 8. gr. laga nr. 77/2000, í þessu tilviki skyldu til vinnslu persónuupplýsinga um kvartanda sem hvorki var í viðskiptasambandi við B né sóttist eftir lánaviðskiptum við félagið.
2.4. Lögmætir hagsmunir
Samkvæmt 7. tölul. 1. mgr. 8. gr. telst vinnsla heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda beri samkvæmt lögum vegi þyngra. Í bréfi B er talið að umrædd vinnsla geti sótt heimild sína til 7. tölul. 1. mgr. 8. gr. Í bréfinu segir m.a.:
Við mat á því hvort sú vinnsla sem um er deilt í máli þessu hafi verið heimil samkvæmt 7. tölul. 1. mgr. 8. gr. ber, af tilefni framangreindra röksemda B, að líta til réttaráhrifa þess að kvartandi er í óvígðri sambúð með lánsumsækjanda, A. Að íslenskum rétti gildir sú meginregla að maður beri einn ábyrgð á sínum fjárhagslegu skuldbindingum, enda þótt hann hafi tekið upp óvígða sambúð með öðrum einstaklingi, nema sérstakur löggerningur leiði til annars. Ekkert liggur fyrir í máli þessu um að gerður hafi verið einhver slíkur löggerningur, s.s. að kvartandi hafi gengist í ábyrgð fyrir umræddri skuldbindingu. Þá má geta þess að þær reglur um gagnkvæma framfærsluskyldu og um takmarkanir á eignarréttindum, sem gilda í hjúskap og staðfestri samvist gilda ekki í óvígðri sambúð. Með vísun til framangreinds verður ekki séð að öflun B á upplýsingum um kvartanda hafi verið nauðsynleg til að félagið gæti gætt lögmætra hagsmuna sinna, í skilningi 7. tölul. 1. mgr. 8. gr., né verður séð að hún hafi verið í samræmi við áskriftarskilmála í samningi B og Lánstrausts hf.
Með vísun til alls framangreinds verður ekki séð að sú aðgerð B að leita upplýsinga um D í skrá Lánstrausts hf., í tengslum við viðskipti B við sambýlismann hennar, hafi verið í samræmi við 1. mgr. 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.
B var óheimilt að skoða upplýsingar um D í skrá Lánstrausts hf. í tengslum við fyrirhuguð viðskipti sambýlismanns hennar við félagið.