Svar við fyrirspurn varðandi öflun fjárhagsupplýsinga um maka

Efni:
Lögmæti öflunar fjárhagsupplýsinga um maka skuldara.
Svarað fyrirspurn og leiðsögn veitt.

I.
Fyrirspurn,
málavextir og bréfaskipti

1.
Fyrirspurn, dags. 4. maí 2012
Mál þetta hófst með fyrirspurn A, dags. 4. maí 2012. Þar segir m.a.:

„Drómi krefst afrits af skattskýrslu [...] við mat á greiðslugetu eiginmanns [...] ellegar verði skuld gjaldfelld og innheimt. Um er að ræða einkaskuld eiginmanns sem eiginkona stofnaði ekki til né ber ábyrgð [á] eða ber skyldur vegna hennar. Hefur fjármálastofnun leyfi til að óska eftir fjárhagsupplýsingum/skattskýrslu frá öðrum aðila en þeim sem er skuldari þegar verið er að reyna að semja um lok skuldar og hóta gjaldfellingu skuldar verði ekki orðið við þessu[?]““

Með erindinu fylgdu afrit af tveimur tölvubréfum, dags. 30. apríl 2012. Annað er tölvubréf Dróma hf. til Straums fjárfestingabanka hf. Þar segir:

„Afstaða Dróma er sú, að til að ljúka greiðslumati og endurskoðun skulda [B] verði að liggja fyrir launaseðlar [A] konu hans. Einnig að á meðan gögnum er ekki skilað verður ekki unnið í málinu frekar og innheimtu framhaldið.“
Hitt er tölvubréf frá Straumi til maka A, B, en með því var framangreint bréf Dróma áframsent til B. Í því segir:
„Hér að neðan er svar frá Dróma varðandi þín mál, skv. þessu er ljóst að við þurfum að fá upplýsingar um laun [A]. Við verðum að fara að fá botn í málið.“

Í símtali við starfsmann Persónuverndar hinn 30. maí 2012 skýrði A erindi sitt. Hún kvaðst ekki telja sig hafa veitt gilt samþykki til vinnslu Dróma á fjárhagsupplýsingum um sig af tilefni samningsgerðar maka síns B um endurskoðun skulda sinna. Um afarkosti hafi verið að ræða. Hún kvaðst óska svars um hvort líta mætti svo á að hún hafi veitt samþykki í skilningi 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

2.
Nánari skýringar málshefjanda
Í bréfi A til Persónuverndar, dags. 23. október 2012, segir m.a.:

„Skuldin sem um ræðir er tilkomin árið 2002. [É]g stofnaði ekki til þessarar skuldar og var öllum aðilum það ljóst þegar lánasamningur var gerður milli eiginmanns míns og Sparisjóðabankans f.h. annarra lánastofnana. [...] Ekki var óskað eftir upplýsingum frá mér enda [var] Sparisjóðabankanum f.h. allra kröfuhafa ljóst að ég var ekki aðili að þessu máli. Allar eignir eiginmanns míns gengu til kröfuhafa við þetta uppgjör [...] Eingreiðslan sem boðin var nam séreignasparnaði eiginmanns míns sem er hans eina eign sem eftir stendur.
Drómi óskaði í framhaldi af þessu eftir fjárhagsupplýsingum, m.a. skattframtali og skuldastöðu eiginmanns míns, vegna þess tilboðs sem fyrir lá. Umbeðnar fjárhagsupplýsingar voru afhentar Sparisjóðabankanum sem áframsendi þær á Dróma. Í framhaldi af því óskaði Drómi eftir launaseðlum mínum og skattframtali sem ég neitaði að senda þar sem ég var ekki aðili að þessari skuld. Drómi neitaði þá að halda áfram með málið og tilkynnti að lánið yrði gjaldfellt og innheimta hafin ef afrit af skattframtali mínu yrði ekki afhent. Undir þessum hótunum var skattframtalið afhent [. É]g bendi á afrit af tölvupósti sem sent var með upphaflegu erindi þar sem þessi hótun kemur fram. Skilyrði 1. [tölul.] 8. gr. laga um persónuvernd voru því ekki fyrir hendi að mínu mati þegar gögnin voru afhent undir þessum aðstæðum, þ.e. [þegar] gögnin voru þvinguð fram en ekki afhent sjálfviljug. [...]

Hinn 14. desember 2012 sendi A Persónuvernd afrit af tölvubréfi eiginmanns síns til Straums, dags. 3. maí 2012, en með því hafði hann sent umræddar fjárhagsupplýsingar til Straums. Í því greinir hann frá andmælum eiginkonu sinnar. Þar segir m.a.:

„Meðfylgjandi er skattframtal 2011 eins og við ræddum um. Eiginkona mín vill koma eftirfarandi á framfæri við samþykki að gefa upp tekjur sínar:
1. Samkomulag það sem gert var milli [B] og kröfuhafa dagsett þann 1. ágúst 2002 var vegna uppgjörs skulda sem ekki var til stofnað af minni hálfu, ég ber því ekki og hef aldrei borið ábyrgð eða skyldur vegna þeirra skulda.
2. Samkvæmt þessu samkomulagi er kröfuhöfum heimilað að meta einvörðungu fjárhagshæfi og/eða greiðsluhæfi [B] vegna þessa máls.
3. Ég tel að það [að] krefjast upplýsinga um fjárhag þess sem ekki er aðili að málinu og hefur aldrei verið, geti varðað við lög um persónuvernd.
4. Ég tel líka rétt að fram komi að framtíð hjónabands okkar er mjög ótrygg.“

3.
Sjónarmið Dróma
Drómi hf. hefur einnig tjáð sig um málið. Í svarbréfi X hdl., f.h. félagsins, dags. 4. júlí 2012, segir m.a.:

„Drómi vill í upphafi benda á að gildissvið laga nr. 77/2000 um persónuvernd [nær] ekki til umræddrar kvörtunar. Umkvörtunarefnið á hvorki rætur að rekja til rafrænnar né handvirkrar vinnslu persónuupplýsinga líkt og hugtakið er skýrt í 2. tl. 2. gr. laganna. Þá varðar umkvörtunarefnið ekki vinnslu persónuupplýsinga sem „eiga að verða hluti af skrá“ í skilningi 3. gr. laganna. Í ljósi framangreinds verður ekki séð að Persónuvernd hafi lagaheimild til þess að úrskurða í umkvörtunarefni þessu, sbr. 2. mgr. 37. gr. laganna. Umkvörtunarefnið lýtur að því að kallað var eftir gögnum sem kvartandi lét sjálfviljug í té. Krafa um framlagningu umræddra gagna var tilkomin vegna þess að eiginmaður kvartanda fór þess á leit við Dróma, og aðra kröfuhafa, að skuldir hans yrðu færðar niður. Drómi var tilbúinn til að kanna hvort að tilefni væri til þess að verða við beiðni eiginmanns kvartanda gegn því skilyrði að upplýsingar um heimilistekjur yrðu veittar, þ.e. um tekjur skuldara og maka hans. Er slíkt skilyrði í fullu samræmi við almenn úrræði sem nú bjóðast [...] Að öðru leyti skal tekið fram að það er rangt sem fram kemur í kvörtun [A] að Drómi hafi krafist tiltekinna fjárhagsupplýsinga um hana „ellegar [yrði] skuld [eiginmanns hennar] gjaldfelld og innheimt.“ Því er alfarið hafnað að Drómi hafi hótað gjaldfellingu á skuldum eiginmanns kvartanda með vísan til framangreinds. Hið rétta er að umrædd skuld var í vanskilum og innheimtuferli hafið þegar umrædd beiðni var sett fram.“

Með bréfi, dags. 2. ágúst 2012, óskaði Persónuvernd skýringa Dróma á því hvernig félagið teldi sig hafa uppfyllt 1. mgr. 8. gr. og 1. mgr. 7. gr. laga nr. 77/2000. Í svari, dags. 23. ágúst 2012, segir m.a.:

„Vinnsla persónuupplýsinga er heimil þegar hinn skráði veitir ótvírætt samþykki fyrir vinnslunni, sbr. 1. tl. 1. mgr. 8. gr. laga um persónuvernd. Kvartandi lét [Dróma] skattframtalið sjálfviljug í té í tölvupósti 3. maí sl. Bendir [Drómi] sérstaklega á að kvartanda hefði verið í lófa lagið að krefjast þess, áður en hún afhenti umrædd gögn, að Persónuvernd tæki afstöðu til beiðni [félagsins], ef hún hefði verið mótfallin því að afhenda gögnin. Kvartandi fór ekki þá leið heldur afhenti gögnin sjálfviljug og veitti þar með ótvírætt samþykki sitt fyrir „vinnslunni“ í samræmi við fyrrgreint ákvæði laganna. Þegar af þeirri ástæðu ætti að hafna kröfum kvartanda.
[...Framkvæmt var] mat á greiðslugetu eiginmanns kvartanda við endurskoðun á skuldum hans. Við greiðslumat er jafnan litið til eigna- og skuldastöðu, tekna, fastra útgjalda og framfærslukostnaðar. Litið er á hjón og sambúðaraðila ásamt börnum heildstætt þegar framfærslukostnaður er metinn, sbr. t.d. framfærsluviðmið Umboðsmanns skuldara. [...] Af þeim sökum hefur þess verið gætt í lagasetningu í kjölfar hruns efnahagskerfisins hér á landi og hinum ýmsu samkomulögum sem gerð hafa verið með það að markmiði að leysa úr skulda- og greiðsluvanda einstaklinga hér á landi, að líta til framfærslukostnaðar fjölskyldna við gerð greiðslumata. [...] Með hliðsjón af framangreindu, og til þess að gæta jafnræðis meðal skuldara, tekur varnaraðili mið af heimilistekjum við mat á greiðslugetu skuldara í þeim tilvikum sem til skoðunar er að afskrifa eða lækka skuldir, skuldara og heimilismönnum hans til hagsbóta.“

Í bréfi Dróma hf., dags. 26. nóvember 2012, segir síðan m.a.:

„Drómi vísar framangreindum ásökunum í garð félagsins á bug. Ásakanir um að félagið hafi „þvingað fram gögn“ í umræddu máli eru mjög alvarlegar og fælu að líkindum í sér, ef réttar væru, lögbrot af hálfu félagsins. Alvarleiki ásakananna er enn meiri í ljósi þess [að] [A] hefur engin gögn lagt fram til stuðnings fullyrðingunum. Áður hefur verið rakið í bréfi undirritaðs, f.h. Dróma þann 23. ágúst sl., að ásakanir [A] um meintar hótanir Dróma um innheimtuaðgerðir gegn eiginmanni hennar yrði ekki orðið við beiðni félagsins um gögn voru rangar, enda voru innheimtuaðgerðr hafnar þegar beiðnin var sett fram. Telur Drómi rétt að ítreka að félagið fékk skattframtal [A] sent í tölvupósti 3. maí sl. Samkvæmt 1. tl. 1. mgr. 8. gr. er vinnsla persónuupplýsinga heimil ef hinn skráði hefur ótvírætt samþykki vinnsluna eða veitt samþykki skv. 7. tl. 2. gr. laganna. Með afhendingu gagnanna veitti [A] samþykki fyrir vinnslunni. Hafi [A] haft athugasemdir við beiðni Dróma um afrit af skattframtali hennar var henni í lófa lagið að koma athugasemdum sínum á framfæri áður en gögnin voru afhent en með þeim hætti hefði Drómi getað metið athugasemdirnar og eftir atvikum endurskoðað beiðnina.
Áréttað er í þessu samhengi að beiðni um persónuupplýsingar, eins og sú sem Drómi setti fram vegna [A], verður ekki talin „vinnsla“ í skilningi laga nr. 77/2000. Einnig skal áréttað að sá sem óskar gagna getur í fæstum tilvikum vitað afstöðu þess sem beiðnin beinist að nema setja beiðnina fram. Það er því óhugsandi að mögulegt sé að afhenda gögn og veita samþykki fyrir vinnslu þeirra, eins og gert er í máli þessu, og gera síðan athugasemdir við vinnsluna með kvörtun til Persónuverndar sem tekin er til efnislegrar umfjöllunar. Með þeim hætti gæti hver sem er tekið upp á því, vilji hann t.d. koma höggi [á] annan aðila - hvort sem er einstakling eða lögaðila, að senda viðkomandi persónuupplýsingar um sig, en með þeim hætti má telja að í skilningi 2. tl. 2. gr. laga 77/2000 sé hafin „vinnsla“ á upplýsingum, og gera í kjölfarið athugasemdir við þá „vinnslu“ með síðbúnum athugasemdum um „vinnsluna“.“

4.
Bréfaskipti við Straum
Hinn 4. janúar 2012 óskaði Persónuvernd skýringa Straums um tengsl hans og Dróma varðandi mál B. Svar Straums barst 7. janúar 2013. Þar segir að Straumur komi fram f.h. SPB (áður Sparisjóðabanka Íslands), en SPB, Drómi og fleiri kröfuhafar eigi aðild að tilteknu samkomulagi við B. Þar segir m.a.:

„Málið á rætur sínar að rekja til þess að árið 2002 var undirritað samkomulag við [B] vegna skuldamála hans hjá eftirtöldum fjármálafyrirtækjum, Sparisjóðabanka Íslands (nú SPB hf.), Sparisjóði vélstjóra (síðar BYR, nú Íslandsbanki), SPRON (nú Drómi), Sparisjóður Siglufjarðar og Kaupþing hf. (nú Arion banki hf.). Allir aðilar áttu kröfu á hendur [B] en hann var jafnframt fyrrverandi starfsmaður Sparisjóðabanka Íslands hf. Kröfur allra fjármálafyrirtækjanna námu á þessum tíma 51.573.388 kr. Samkvæmt samkomulaginu þá kom það í hlut Sparisjóðabanka Íslands að annast samskipti við [B]. Í samkomulaginu eru ákvæði um endurskoðun á efni þess á tilteknu árabili. Nú hefur legið fyrir nokkuð lengi að skoða þurfi stöðu þessara mála hjá [B] en til að svo megi vera þurfa upplýsingar um fjárhagslega stöðu hans og maka hans að liggja fyrir. Samþykki allra kröfuhafa þarf til að gera breytingar á núverandi samkomulagi.  [B] undirritaði yfirlýsingu þar sem hann heimilaði SPB hf. að afla upplýsinga um sig hjá öðrum fjármálafyrirtækjum. Yfirlýsingin er dags. 14. mars 2012.“

II.
Svar Persónuverndar
1.
Afmörkun á efni máls
Fyrir Persónuvernd liggur spurning um hvort fjármálastofnun hafi „leyfi til að óska eftir fjárhagsupplýsingum/skattskýrslu frá öðrum aðila en þeim sem er skuldari þegar verið er að reyna að semja um lok skuldar og hóta gjaldfellingu skuldar verði ekki orðið við þessu“.
Það fellur utan verksviðs Persónuverndar, eins og það er afmarkað í 37. gr. laga nr. 77/2000, að svara seinni hluta spurningarinnar, þ.e. um heimild til að hóta gjaldfellingu skuldar. Henni ber hins vegar að svara fyrri hlutanum, sem hún skilur svo, í ljósi atvika máls, að varði heimild ábyrgðaraðila til að afla persónuupplýsinga um annað hjóna í tengslum við samningsgerð við hitt hjóna. Þá liggur fyrir Persónuvernd að svara því hvort Drómi hf. hafi mátt líta svo á að A hafi veitt samþykki, í skilningi 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000, fyrir því að félagið fengi upplýsingar um sig.
2.
Um gildissvið laga nr. 77/2000
Af hálfu Dróma hf. hefur því verið haldið fram að mál þetta varði ekki vinnslu persónuupplýsinga. Af því tilefni er eftirfarandi tekið fram: Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Mál þetta varðar slíkar upplýsingar. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000. Lögin gilda um sérhverja rafræna vinnslu slíkra upplýsinga, sbr. 1. mgr. 3. gr. laganna. Fyrir liggja tölvuskeyti dags. 30. apríl og 3. maí 2012 sem bera með sér að upplýsinga var óskað með rafrænum hætti og að þær voru afhentar með þeim hætti. Þannig er ljóst að vinnsluferillinn allur var rafrænn. Er því um að ræða rafræna vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 77/2000.
3.
Ábyrgðaraðili vinnslu
Samkvæmt 4. tölul. 2. gr. laga nr. 77/2000 er ábyrgðaraðili vinnslu persónuupplýsinga sá aðili sem ákveður tilgang hennar, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Umrædd upplýsingamiðlun fór fram að kröfu Dróma hf. og í þeim tilgangi sem félagið ákvað. Hins vegar liggur einnig fyrir að umræddar upplýsingar um A voru sendar úr pósthólfi B. Er því er ekki útilokað að B myndi, kæmi hans þáttur til sérstakrar athugunar, einnig teljast vera ábyrgðaraðili í skilningi laganna. Sama gæti átt við um aðra kröfuhafa sem stóðu að umræddu samkomulagi við B. Eins og mál þetta er nú afmarkað lýtur það þó ekki að þeirra hlut og mun svar Persónuverndar aðeins taka til Dróma hf.
4.
Um lögmæti vinnslu
4.1.
Um heimild til vinnslu
Af hálfu Dróma hefur því verið haldið fram að A hafi veitt samþykki sitt fyrir vinnslunni og vinnslan hafi samrýmst ákvæði 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Samkvæmt því ákvæði er vinnsla persónuupplýsinga heimil hafi hinn skráði ótvírætt samþykkt hana eða veitt samþykki skv. 7. tölul. 2. gr. sömu laga. Í 7. tölul. 2. gr. segir m.a. að með samþykki sé átt við yfirlýsingu sem einstaklingur gefi af fúsum og frjálsum vilja um að hann sé samþykkur vinnslu tiltekinna upplýsinga um sig.
Í ljósi þess að A andmælti og gerði þær athugasemdir, sem greint var frá í tölvubréfi B til Dróma, dags. 3. maí 2012, verður ekki talið að um ótvírætt samþykki sé að ræða. Þá verður það ekki talið hafa verið veitt af fúsum og frjálsum vilja, í skilningi 7. tölul. 2. gr. Til þess þarf að liggja fyrir að sá sem það veitti hafi sýnilega og raunverulega átt val um að veita það eða veita það ekki, en ekki liggur fyrir að svo hafi verið í máli þessu.
Samkvæmt framangreindu verður ekki talið að uppfyllt hafi verið skilyrði 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

4.2.
Meginreglur 7. gr.
Úrlausnarefni máls þessa tekur ekki til þess hvort uppfyllt hafi verið eitthvert annað af skilyrðum 1. mgr. 8. gr. laganna. Í ljósi hlutverks síns, samkvæmt 5. tölul. 3. mgr. 37. gr. laga nr. 77/2000, hefur Persónuvernd hins vegar ákveðið að leiðbeina Dróma um að ávallt þarf einnig að uppfylla meginreglur 1. mgr. 7. gr. laganna. Það er forsenda þess að vinnsla persónuupplýsinga teljist vera lögmæt.
Ein þessara meginreglna er í 1. tölul. 1. mgr. 7. gr. Samkvæmt henni skal öll vinnsla persónuupplýsingar m.a. vera með sanngjörnum, málefnalegum og lögmætum hætti.
Í máli A hefur komið fram að um afarkosti hafi verið að ræða og Drómi hefur staðfest að hann hafi ekki verið „tilbúinn til að kanna hvort að tilefni væri til þess að verða við beiðni eiginmanns kvartanda [nema] gegn því skilyrði að upplýsingar um heimilistekjur yrðu veittar, þ.e. um tekjur skuldara og maka hans.“
Persónuvernd minnir í fyrsta lagi á að almennt eru persónuupplýsingar ekki verðmæti sem sanngjarnt er eða málefnalegt að gera kröfu um að fá gegn því að veita þjónustu sem stendur öllum til boða. Í öðru lagi er minnt á að vinnsla persónuupplýsinga þarf, svo hún teljist vera með lögmætum hætti, að samrýmast lögum og reglum. Íslenskur hjúskaparréttur byggir á grundvallarreglum um efnahagslegt sjálfstæði hjóna sem endurspeglast m.a. í lagaákvæðum um forræði hjóna á eignum sínum og um skipta skuldaábyrgð. Reglur um gagnkvæma framfærsluskyldu hjóna hagga þessu ekki.
Dróma til frekari leiðsagnar bendir Persónuvernd á að samkvæmt 3. tölul. 1. mgr. 7. gr. er það einnig skilyrði að aðeins sé unnið með nægilegar og viðeigandi persónuupplýsingar og ekki sé gengið lengra en nauðsyn krefur. Ábyrgðaraðila ber því að ganga úr skugga um að til staðar sé raunveruleg þörf fyrir persónuupplýsingar. Þeim hærri sem skuldir annars hjóna eru, þeim ólíklegra er að upplýsingar um framfærslueyri sem það fær eða geti fengið frá hinu hjóna, geti raunverulega skipt máli við mat á getu þess til að greiða skuldirnar. Hafi Drómi í raun ekki þörf, sbr. 3. tölul. 7. gr. laga nr. 77/2000, fyrir persónuupplýsingar um fjárhag annars hjóna er honum almennt ekki heimilt að safna þeim.

5.
Samandregin niðurstaða
Svar Persónuverndar við þeirri spurningu hvort fjármálastofnun sé óheimilt að afla persónuupplýsinga um annað hjóna, í tengslum við samningsgerð við hitt hjóna, er að svo er ekki - nema uppfyllt sé eitthvert af skilyrðum 1. mgr. 8. gr. laga nr. 77/2000. Svarið við seinni spurningunni er að ekki hefur verið sýnt fram á að A hafi veitt samþykki samkvæmt 1. tölul. 1. mgr. 8. gr.
Hvorki hefur verið tekin afstaða til þess hvort uppfyllt hafi verið eitthvert annað af skilyrðum 1. mgr. 8. gr. laganna né hvort vinnsla hafi að öðru leyti samrýmst ákvæðum þeirra.