Kennitöluskráning við skil á vöru

12.10.2011

Úrskurður

Hinn 17. ágúst 2011 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2011/753:

I.
Kvörtun og bréfaskipti

1.
Með bréfum dags. 4. og 14. ágúst 2010 fór A (kvartandi) þess á leit við Persónuvernd að hún myndi úrskurða um skráningu persónuupplýsinga á vegum IKEA - þ.e. skráningu sem fram fór þegar komið var til Ikea með vöru og beðið um að fá aðra vöru í hennar stað. Í kvörtuninni segir:

„Málavextir eru þeir að kona kom með vörur sem hún þurfti að skila þar sem þær pössuðu ekki (voru ekki af réttri stærð til að passa í hluti sem keyptir höfðu verið af fyrirtækinu IKEA). Var ætlunin að fá vörunum skipt fyrir þá stærð sem passaði í þau stöðluðu húsgögn er fyrirtækið selur eða seldi.
Þrátt fyrir það sem stendur á auglýsingaskilti sem er á vegg í fyrirtækinu um reglur er gilda um skipti á vörum eða endurgreiðslu krafðist starfsmaður fyrirtækisins að konan framvísaði persónuskilríkjum.
Hún sem persóna við skil á vöru sem keypt hafði verið þremur dögum áður var aðeins sendill og vörukaupum og vöruskiptum óviðkomandi sem persóna. Verður það að teljast all undarleg framkoma af hálfu starfsmanna að krefjast persónuskilríkja.
Er farið fram á að Persónuvernd úrskurði um -- Hvar má krefjast og hverjir hafi lagalega heimild til að krefjast persónuupplýsinga (kennitölu) af landsmönnum eða framvísun persónuskilríkja við viðskipti sem ekki eru tengd lánakjörum.
Afsökun starfsmanna á því að þessarra upplýsinga sé krafist svo skrá megi hverjir fái inneignarnótur svo rekja megi nóturnar ef viðkomandi viðskiptamaður glati sínu eintaki. Er ekkert að athuga við það að þeir sem eru gjarnir á að tapa verðmætum af gáleysi þiggi þessa þjónustu fyrirtækisins en það veitir fyrirtækinu engan rétt til að krefjast skilyrðislaust af viðskiptavinum að þeir framvísi persónuskilríkjum.
Það er vel þekkt í viðskiptaheiminum að fyrirtæki safni upplýsingum um viðskiptavina sína og miðli slíkum upplýsingum til annarra fyrirtækja. Er ástæðulaust að líða stjórnendum fyrirtækja slíka njósnastarfsemi um lifnaðarhætti fólks.
Starfsmaður fyrirtækisins að nafni X gaf undirrituðum þær upplýsingar að stjórnendur fyrirtækisins IKEA hefðu heimild Persónuverndar til að krefjast persónuskilríkja. Að auki hefði fyrirtækið fengið heimild Neytendastofu og Neytendasamtakanna. Samkvæmt símtölum undirritaðs við ofannefndar stofnanir kannaðist enginn við að heimild hafi verið veitt til að krefjast persónuskilríkja eða annarra persónulegra upplýsinga.“

Þegar framangreint erindi um kennitöluskráningu við vöruskil barst hafði Persónuvernd þegar kveðið upp úrskurð í máli þar sem reyndi á umrædd sjónarmið. Það er úrskurður í máli 2010/53 frá 22. júní 2010. Í honum var niðurstaða hennar sú að IKEA hafi verið heimilt að skrá kennitölu manns sem nýtti sér skilarétt á ógallaðri vöru hjá fyrirtækinu. Persónuvernd sendi honum afrit af úrskurði sínum. Það var gert með bréfi dags. 26. október 2010.

Þann 8. nóvember 2010 hringdi kvartandi á skrifstofu Persónuverndar og krafðist gleggri svara. Honum var sent svarbréf dags. 24. desember 2010. Þar var m.a. rakið hvaða svör IKEA hefði þegar veitt Persónuvernd um vinnslu persónuupplýsinga um kennitölur í tengslum við vöruskil. Fyrir lægi að félagið teldi að til þess að geta veitt umrædda vöruskilaþjónustu þyrfti það að skrá kennitölur viðskiptavina. Máli skipti að félagið veitti aukinn rétt m.t.t. laga nr. 48/2003, um neytendakaup. Var vísað í umsögn Neytendastofu um að seljendur hafa frjálsar hendur um rétt viðskiptavina til að skila ógölluðum vörum. Þá var tekið fram að það haggaði ekki efnislegri niðurstöðu að þessu leyti hvort kvartandi eða dóttir hans hefði skilað umræddri vöru.

Þann 22. júní 2011 barst Persónuvernd bréf frá umboðsmanni Alþingis. Það var vegna þess að kvartandi hafði sent þangað kvörtun yfir framangreindri málsmeðferð Persónuverndar. Af því tilefni var málið endurupptekið hjá Persónuvernd.

Í framhaldi af ákvörðun um endurupptöku var kvartanda, með bréfi, dags. 27. júní 2011,  gefinn kostur á að tjá sig og hann spurður hvort sú vara sem skilað var til Miklatorgs hf.- IKEA í umrætt sinn hafi verið gölluð eða ekki. Einnig var spurt um hvort kvartað væri yfir skráningu á kennitölu kvartanda eða dóttur hans. Ef það lyti að kennitölu dótturinnar var bent á að Persónuvernd þyrfti að berast afrit af umboði frá henni til hans, þ.e. umboð til þess að hann mætti fara með hennar mál fyrir Persónuvernd.

Svarbréf kvartanda, dags. 29. júní 2011, barst stofnuninni þann 5. júlí s.á. Þar segir:

„Með vísan til bréfs yðar dagsett 27. júní 2011 er rétt að geta eftirfarandi.
Skjalvarsla yðar verðist vera í ólestri eða mistök hafi orðið við yfirlestur gagna.
Yður var sent umrætt mál fyrst með bréfi dagsettu 4. ágúst 2010.
Svar stofnunarinnar barst fljótlega eða 14. ágúst þar sem dregið var í efa rétt minn til afskipta af málinu.
Bréfi stofnunarinnar var svarað samdægurs eða þann 14. ágúst 2010. Sjá meðfylgjandi afrit.
Í framhaldi af því virðist sem málið hafi verið tekið til skoðunar og afgreitt á grundvelli innkominna gagna og fyrri afgreiðslu stofnunarinnar með heimild til handa starfsfólki IKEA að krefjast skilríkja af viðskiptavinum.
Verður það að teljast all undarleg málsmeðferð að krefjast frekari gagna eftir að Umboðsmaður Alþingis er kominn í málið og gagna sem eiga að vera í vörslu yðar.
Með vísan til jafnræðisreglu í íslensku samfélagi getur Persónuvernd ekki hyglað ákveðnum þegnum samfélagsins með úrskurði sínum.
Ef heimild Persónuverndar er gefin til þess að einstaklingur eða aðili megi krefjast persónuskilríkja af öðrum þegnum samfélagsins og aðilinn sem krefst skilríkja er ekki í þjónustu hins opinbera s.s. lögreglu, tollvarða og annarra slíkra, er erfitt að sjá það á lögum að slík heimild nái ekki til allra þegna þjóðfélagsins.“

Með framangreindu bréfi fylgdi afrit af skjali sem á er texti með undirritun beggja aðila, þ.e. bæði kvartanda og dóttur hans. Dagsetning er 14. ágúst 2010. Sá texti sem dóttirin undirritar er þessi:

„Bréf til Persónuverndar vegna ósiðlegrar framkomu af hálfu starfsfólks verslunarinnar IKEA dagan[a] 3. og 4. ágúst 2010 þegar krafist var persónuskilríkja við skil á vöru, sem ekki passaði í áður keypta vöru hjá fyrirtækinu, var sent  að minni ósk. Eins og fram kemur í bréfi var ég í sendiferð og málið ekki mér persónulega viðkomandi heldur starf sem ég var að vinna. Þess er krafist að upplýsingar um nafn mitt og aðrar persónulegar upplýsingar komist ekki í hendur starfsmanna eða stjórnenda IKEA.“

Í texta sem A undirritar segir m.a.:

„Til frekari áréttingar á umræddu atviki fór konan tvisvar í verslunina eða 3. og 4. ágúst. Var undirritaður viðstaddur atvikið hinn 4. ágúst og ræddi við starfsfólkið. Var þess krafist að ráðandi aðilar verslunarinnar kæmu á vettvang en þeir þorðu ekki að mæta og fór fram 56 mínútna símasamband eins starfsmannsins sem sagðist vera yfir en neitaði að gefa upp nafn og aðrar upplýsingar um sig svo hægt væri að festa það á blað. Ræddi sú kona við einhvern en neitaði að gefa upp við hvern. Umræddur  X sem rætt var við daginn áður fékkst ekki til að koma í afgreiðsluna.
Er stjórnendum Persónuverndar bent á að undirritaður var aðili að málinu og sendiferðin á vegum undirritaðs. Svarbréf embættisins er því markleysa. Undirritaður var aðili og er aðili að umræddu máli.
Hér með er þess krafist að Persónuvernd svari umræddu erindi efnislega eins og það er sett fram svo að ljóst sé hvaða glæpir séu löglegir í landinu. Rétt þykir að embætti Persónuverndar svari einnig því hvort einstaklingar sem sinna erindum annarra eins og í þessu tilviki þurfi að gefa persónuupplýsingar til þeirra sem stunda persónunjósnir í krafti fjármagnsins.“

Með tölvubréfi, dags. 20. júlí sl., óskaði kvartandi eftir því að Persónuvernd myndi svara erindi sínu sem fyrst. Þann 21. júlí 2011 hringdi hann á skrifstofu Persónuverndar og óskaði eftir að sér bærist þegar efnislegt svar stofnunarinnar.

Með bréfi til kvartanda og dóttur hans, dags. 25. júlí 2011, gerði Persónuvernd þeim grein fyrir sínum skilningi á málinu og óskaði athugasemda væri hann ekki réttur. Um skilning hennar á málavöxtum sagði m.a. að hann væri sá að A hefði umboð B til þess að koma fram fyrir hennar hönd, þ.e. gagnvart Persónuvernd. Þá var sagt að stofnunin skyldi málið svo að ekki hafi verið um að ræða vöruskil í umrætt sinn heldur hafi söluhlut verið skipt, þ.e. keyptri vöru hafi verið skipt fyrir aðra vöru. Síðan sagði í bréfi Persónuverndar

„Til leiðbeiningar er bent á að lögmæti þess að skrá kennitölu ræðst m.a. af ákvæðum 8. og 10. gr. laga nr. 77/2000. Í 8. gr. er það almenna ákvæði að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að efna samning sem hinn skráði er aðili að. Við mat á því hvort þetta skilyrði sé uppfyllt skiptir m.a. máli hvort veitt er lögskyld þjónusta eða rýmri réttur. Sé veittur rýmri réttur hefur Persónuvernd, eins og segir í bréfi hennar til yðar dags. 24. desember 2010, talið ábyrgðaraðila vera heimilt að skrá kennitölu viðskiptavinar.
Um það hvort í yðar tilviki hafi verið veittur rýmri réttur þarf að líta til laga um neytendakaup nr. 48/2003. Þar eru ákvæði um rétt til að skila gallaðri vöru. Um rétt til skipta er þar það ákvæði í 3. mgr. 42. gr. að neytandi getur skipt söluhlut hafi verið um það samið eða ef slíkur réttur leiðir af almennum réttarreglum. Á heimasíðu ikea.is eru upplýsingar um skilmála fyrirtækisins. Þar er kynntur sá réttur sem Ikea veitir. Þar segir m.a.: „Þú mátt líka skipta um skoðun. Betri skipti- og skilaréttur á ónotuðum vörum þýðir meira frelsi fyrir þig.“

Afrit af bréfinu var sent Miklatorgi hf. - Ikea.

Kvartandi hringdi til Persónuverndar hinn 27. júlí 2011 og leiðrétti það að um vöruskipti hefði verið að ræða. Hið rétta væri að um hefði verið að ræða skil á ógallaðri vöru. Hún hafi verið endurgreidd. Ekki hafi verið krafist kassakvittunar. Hann sendi einnig tölvubréf til Persónuverndar sama dag. Þar segir:
 

„Sem svar við bréfi Perónuverndar dags. 25. júlí 2011.
 A:    Ég hef fullt umboð B í þessu máli.
 B:    Um var að ræða vöruskil þar sem umræddir hlutir pössuðu ekki í áður keypta hluti hjá fyrirtækinu. Vörunni var skilað og greiðsla bakfærð. Krafist var persónuupplýsinga sendils.
 C:    Að viðskiptin voru gerð að tilhlutan minni og á mína ábyrgð. Vörureikningur var stílaður á fyrirtæki.“

 

2.
Með bréfi dags. 28. júlí 2011 var Miklatorgi hf.-IKEA tilkynnt um kvörtunina og boðið að tjá sig. Í svari þess, dags. 3. ágúst sl., segir m.a.:

„Það er ýmislegt við lestur þess sem kemur nokkuð á óvart og þá er margt óljóst. Það kemur til að mynda ekki fram hvort varan hafi verið í upprunalegum pakkningum ósamsett, eða hvort það var búið að setja hana saman. Þetta skiptir máli því þó varan hafi verið ógölluð, er langt frá því víst að varan sé í seljanlegu ástandi við skilun.    
Ekki fylgir sögunni hvort þau hafi á nokkrum tímapunkti framvísað kassakvittun sem sönnun fyrir kaupunum og síðan þykir mér það með ólíkindum að A haldi því fram að það hafi átt sér stað 56 mínútna símtal milli starfsmanns IKEA og hans.  
Það hefur enga þýðingu þó viðkomandi aðili hafi keypt vitlausan hlut og ætli bara að skottast inn eftir rétta hlutnum, því verslunin er 21.000 fermetrar af stærð og eina leiðin til að þetta gangi upp er að gefa út inneign til viðkomandi sem hann síðan nýtir sem greiðslu fyrir réttu vörunni á kassa.  
Hvað varðar fullyrðingu A um að eina ástæða þess að við krefjumst kennitölu sé til að rekja nótur og til að gefa út nýja ef gömul glatast þá skal skal það koma fram að við rekjum ekki nótur. Við getum gefið út nýja nótu, tapist nóta og gerum það fyrir viðskiptavini.  Þetta er auka trygging fyrir viðskiptavini en fjarri því að vera einhver aðal ástæða fyrir einu eða neinu.  Gamla nótan er þá gerð void og er eftir það ógild.
Það hefur áður komið fram í samskiptum mínum við ykkur að við vinnum ekkert með þessar kennitölur og út úr kú að halda því fram að upplýsingar um vöruskil einstaklinga hafi eitthvað verðgildi fyrir önnur fyrirtæki.   
Aðal ástæðan fyrir því að við óskum eftir því að kennitala sé gefin upp er til að koma í veg fyrir að óprúttnir aðilar geti stundað það að skila illa fengnum vörum, fengið inneignarnótur og selt þær síðan á netinu.  Með því að binda inneignarnótuna við ákveðnar kennitölur þá er hægt að koma 100% í veg fyrir þetta.  Ég þarf ekki að tíunda fyrir þér hversu mikið hagræði það er fyrir þorra viðskiptavina sem skila til okkar vörum að þurfa ekki að hafa áhyggjur af því hvort nótan hafi glatast, svo maður tali ekki um alla þá sem fá IKEA vörur sem gjöf, en vilja skila henni einhverra hluta vegna.
Nú er ár liðið frá því að þetta átti sér stað og ógerlegt að sannreyna neitt af því sem þarna kemur fram.   Ég get þó svarað fyrirspurn þinni eftirfarandi.
Það er ekki gerður greinarmunur á því hvort fólk sé að skila vörum fyrir þriðja aðila það er ávallt óskað eftir því að kennitala sé gefin upp. B hefði hinsvegar getað látið skrá aðra (auka kennitölu) á inneignarnótuna (kennitölu fyrirtækis A sem dæmi) og hefði hann þá getað nýtt inneignarnótuna.  Það hefði getað leyst einhver vandræði fyrir A, en B hefði samt þurft að gefa upp sína kennitölu, burtséð frá öllu.
Ég ítreka það að við vinnum ekkert með kennitölur og mjög ríkir hagsmunir þorra viðskiptavina hljóta að vega þyngra en kvörtun A, [...].“

3.
Loks má geta þess að Persónuvernd hefur - í tengslum við eldra mál - fengið umsögn Neytendastofu, dags. 6. apríl 2010, um rétt til vöruskila. Þar segir m.a.:

„Þar sem neytendum er með lögum ekki veittur réttur til skila á ógallaðri vöru hefur Neytendastofa litið svo á að seljendur hafi frjálsar hendur um þær verklagsreglur sem þeir setja sér við skil á vörum, kjósi þeir að veita neytendum slíkan rétt, brjóti þær ekki í bága við önnur lög, t.d. lög um persónuvernd og meðferð persónuupplýsinga. Neytendastofa hefur þó gert kröfu til þess að seljendur hafi skilareglur sínar sýnilegar neytendum þar sem kaup fara fram.“

II.
Forsendur og niðurstaða

1.
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr.

Skráning Miklatorgs hf. - IKEA á kennitölum þeirra sem koma með vörur og fá útgefnar inneignarnótur felur í sér vinnslu persónuupplýsinga í framangreindum skilningi. Fellur mál þetta því undir gildissvið laga nr. 77/2000 og þar með valdsvið Persónuverndar, sbr. 37. gr. laganna.

2.
Svo að vinna megi með persónuupplýsingar þarf ávallt að vera fullnægt einhverju af skilyrðum 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Í 2. tölul. þeirrar greinar er ákvæði um vinnslu sem er nauðsynleg til að efna samning sem hinn skráði er aðili að. Við mat á því hvort þetta skilyrði sé uppfyllt skiptir m.a. máli hvort veitt er lögskyld þjónusta eða rýmri réttur. Í því máli sem hér um ræðir liggur fyrir að ekki var einungis veitt lögskyld þjónusta heldur tekið við ógallaðri vöru og hún endurgreidd.

Samkvæmt framangreindu lýtur mál þetta að tilviki þar sem veittur er aukinn réttur m.t.t. laga nr. 48/2003 um neytendakaup. Af hálfu ábyrgðaraðila hefur komið fram að skráning kennitölu þess sem kemur með vöruna sé forsenda þess að veita slíkan rétt. Þar með er skráningin orðin forsenda samningsgerðar og telst því geta samrýmst ákvæði 2. töluliðar 1. mgr. 8. gr. laga nr. 77/2000. Að því er varðar það skilyrði að hinn skráði sé aðili að samningi ber að líta til þess að þótt hinn skráði, B, hafi ekki sjálf verið aðili þess samnings sem gerður var þegar varan var keypt af Ikea var það hún sem kom með vöruna til Ikea og fékk greiðslu fyrir. Hefur enda ekkert komið fram um að krafa hafi verið gerð um að hún framvísaði kaupnótu, kassakvittun eða öðrum gögnum um kaup á vörunni. Telst B því vera aðili samnings í skilningi þessa ákvæðis.

Í 10. gr. laga nr. 77/2000 er það viðbótarskilyrði sett fyrir skráningu kennitölu að hún eigi sér málefnalegan tilgang og sé nauðsynleg til að tryggja örugga persónugreiningu. Við mat á því hvort þetta skilyrði hafi verið uppfyllt í því tilviki sem hér er til úrlausnar ber að líta til röksemda Miklatorgs hf. - IKEA um að kennitöluskráning sé félaginu nauðsynleg við bókun á útgefnum  inneignarnótum og til að koma í veg fyrir að óprúttnir aðilar geti skilað illa fengnum vörum. Með vísan til alls framangreinds telur Persónuvernd umrædda kennitöluskráningu Miklatorgs hf. - IKEA uppfylla skilyrði 10. gr. laga nr. 77/2000.


Ú r s k u r ð a r o r ð:

Skráning Miklatorgs hf.- IKEA á kennitölu B, þegar hún skilaði ógallaðri vöru, var heimil.