Bréf Persónuverndar til S24 vegna tilmæla
Persónuvernd vísar til fyrri bréfaskipta vegna kvörtunar [R], dags. 2. júní 2009, undan því að hafa verið beðin um of ítarlegar persónuupplýsingar þegar hún þurfti að fylla út eyðublað S24 með vísan til laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka nr. 64/2006.
Í tölvubréfi yðar, dags. 2. júní 2009, kom fram að notkun þessa eyðublaðs byggði á verklagsreglu sem Samtök banka og verðbréfafyrirtækja (SBV) hefðu gefið út fyrir aðildarfélög sín. S24 bæri og skylda til þess að láta viðskiptavini fylla eyðublaðið út í samræmi við lög nr. 64/2006, um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka. Fjármálaeftirlitið fylgdist náið með því að þessu væri framfylgt. Loks tölduð þér mega endurskoða hvaða upplýsingar fólk sé beðið um að veita skv. eyðublaðinu.
Í bæklingi SBV um helstu atriði laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka, kemur fram að við stofnun nýs reiknings sé aðilum skylt að veita upplýsingar um fullt nafn, fæðingardag, heimilsfang og eftir atvikum dvalarstað og kennitölu. Auk þess sé fjármálafyrirtækjum skylt að spyrja viðskiptavini um hvort fyrirhuguð viðskipti fari fram fyrir hönd annars en hans sjálfs, hver sé tilgangur viðskipta og um hvað þau snúist auk þess hver sé uppruni þeirra fjármuna sem um ræðir. Í tilviki kvartanda var óskað ítarlegra persónuupplýsinga um hjúskaparstöðu, nafn, kennitölu og starf maka, nöfn og kennitölur barna, atvinnu kvartanda og vinnuveitanda hans.
Persónuvernd sendi Samtökum fjármálafyrirtækja (áður SBV) bréf, dags. 15. júní 2009, og spurði hvaða reglur SFF hefði stuðst við þegar verklagsreglurnar voru samdar. Í svarbréfi SFF kemur fram að aðildarfyrirtæki samtakanna hafi komið sér saman um að umræddar verklagsreglur fælu í sér lágmarksviðmið. Þær hafi verið byggðar á þeim reglum sem þá voru til og var vísað til tilmæla FME nr. 2/2008.
Með bréfi, dags. 2. júlí 2009, var kvörtun [R] borin undir Fjármálaeftirlitið (FME) og óskað svara um hvers vegna FME teldi þörf á svo ítarlegri upplýsingasöfnun. Bent var á grein 2.3.2. í tilmælum þess og að samkvæmt lögum nr. 64/2006, um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka, eða ákvæðum tilskipunar nr. 2005/60/EB, sé ekki mælt fyrir um öflun svo ítarlegra persónuupplýsinga. FME svaraði og benti á að aðeins sé um leiðbeinandi reglur að ræða. Að fengnum svörum FME ákvað stjórn Persónuverndar, á fundi sínum þann 13. ágúst 2009, að beina þeim tilmælum til eftirlitsins að taka til skoðunar að breyta orðalagi tilmælanna þannig að skýrara verði að um leiðbeiningar sé að ræða en ekki skuldbindandi reglur í skilningi 3. tl. 8. gr. laga nr. 77/2000. Hjálagt fylgir afrit af bréfi Persónuverndar til FME, dags. 13. ágúst sl.
Á sama fundi var þáttur S24 einnig ræddur. Sem ábyrgðaraðila vinnslu persónuupplýsinga um viðskiptamenn sína ber S24 að leggja sjálfstætt mat á það hvaða upplýsingar eru nauðsynlegar til að uppfylla skilyrði laga og reglna sem gilda á þessu sviði. Með vísan til efnis tilmæla FME þótti hins vegar hafa verið afsakanlega villu að ræða hjá S24 við notkun umrædds eyðublaðs og því þóttu ekki efni til frekari aðgerða af tilefni umræddrar kvörtunar að öðru leyti en því að beina því til yðar að gera breytingar á umræddu eyðublaði, í samræmi við ákvæði laga nr. 64/2006.