Markpóstur sendur fermingarbarni - mál nr. 2012/499

19.6.2012

Úrskurður

Á fundi Persónuverndar hinn 13. júní 2012 var kveðinn upp svohljóðandi úrskurður í máli nr. 2012/499:

I.
Málsatvik og bréfaskipti

1.
Kvörtun yfir markpósti
Þann 29. mars 2012 barst Persónuvernd kvörtun A og B (hér nefndir kvartendur), yfir markpósti frá Íslandsbanka (VÍB Verðbréfastýringu Íslandsbanka) til sín og sonar síns. Fram kom að þau væru öll bannmerkt í þjóðskrá. Í kvörtuninni segir m.a.:

„Í dag 29/3 2012 barst okkur bréf sem forráðamönnum sonar okkar (C) merkt Íslandsbanka, sem inniheldur markpóst til fermingarbarna. Þrátt fyrir að ekkert okkar sé í viðskiptum við fyrrnefnda bankastofnun og allir fjölskyldumeðlimir séu bannmerktir á útsendingarlista þjóðskrár (hver fyrir sig, sérstaklega) virðist það ekki stoppa fyrirtæki sem þessi að senda markpóst á ólögráða barn, né foreldrana.
Markpóstur þessi brýtur að okkar mati í bága við friðhelgi heimilisins, og þá friðhelgi sem ólögráða barn á að eiga í skjóli foreldra sinna eða annarra til þess bærra forráðamanna.
Það hefur færst í aukana að fyrirtæki af ýmsum toga, miða sína markaðssetningu við börn sem a) eru of ung til að gera sér grein fyrir því sem býr að baki auglýsingum og b) eru ekki fjárráða og mega því ekki gera fjárhagslegar skuldbindingar fyrir sína hönd fyrr en að þau eru orðin 18 ára.[...]
Þess vegna er það skoðun okkar að ofangreindir aðilar sem kvörtun þessi beinist að, hafi vísvitandi haft að engu friðhelgi einkalífs okkar og brotið gegn: 2. mgr. 28. gr. laga nr. 77/2000. Einnig gegn 3. og 6. greinum reglna nr. 36/2005.
Því er þess farið á leit við Persónuvernd að stofnunin úrskurði um lögmæti þess að senda markpóst af þessu tagi til barna undir sjálfræðisaldri. Og einnig að stofnunin úrskurði um, hvort að það sem við hjónin lítum á sem brot gegn okkur og syni okkar séu vísvitandi gerð eða hrein og klár hundsun á regluverkinu.“

2.
Bréfaskipti
Með bréfi, dags. 12. apríl 2012, var Íslandsbanka gefinn kostur á að koma á framfæri afstöðu sinni til kvörtunarinnar. Í svarbréfi Íslandsbanka, dags. 30. apríl s.á., segir m.a.:

„Íslandsbanki hefur farið yfir erindið og svo virðist sem mistök hafi orðið við vinnslu lista fyrir útsendingu þessa markpósts og gerir Íslandsbanki ekki athugasemdir við atvikalýsingu. Íslandsbanka er ljóst að bannmerkingar skuli virða og eru listar fyrir markpóst alla jafna keyrðir saman við bannmerkingar í þjóðskrá. Fyrir einhverja handvömm virðist sem sú samkeyrsla hafi brugðist í þessu tilviki og hafa ekki fundist á því aðrar skýringar en að um mannleg mistök hafi verið að ræða og biðst bankinn velvirðingar á því.
Íslandsbanki kappkostar að fara að lögum og reglum í starfsemi sinni og telur bankinn það síst þjóna hagsmunum sínum að virða að vettugi óskir fólks um friðhelgi fyrir heimili sitt og fjölskyldu. Íslandsbanki mun í kjölfar þessa atviks yfirfara verklagsreglur við útsendingu markpósts til þess að tryggja að mistök sem þessi endurtaki sig ekki.“

Með bréfi, dags. 8. maí 2012, var kvartendum gefinn kostur á að koma á framfæri andmælum vegna framangreinds svarbréfs Íslandsbanka. Þá sagði jafnframt að þar sem ekki lægi fyrir ágreiningur yrði ekki aðhafst frekar nema þess yrði óskað. Í svarbréfi kvartenda, dags. 22. maí 2012, segir m.a.:

„Svör Íslandsbanka eru í raun þau sem búast mátti við, bankinn ber við mannlegum mistökum og afsakar sig hástöfum, gott og vel. Erfitt gæti reynst að sanna vísvitandi brot sem við getum ekki annað en unað við það, að sinni.
En það sem er öllu verra er að Persónuvernd skuli ekki einu sinni ansa þeirri málaleitan okkar hjóna um úrskurð um lögmæti þess að senda svona markpóst á ólögráða einstaklinga.[...]“

II.
Forsendur og niðurstaða

1.
Gildissvið o.fl.
Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og þar með valdsvið Persónuverndar, nær til vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. og 1. og 2. mgr. 37. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Með vísun til framangreinds telst sú vinnsla persónuupplýsinga sem mál þetta varðar falla undir lög nr. 77/2000.

2.
Afmörkun úrlausnarefnis
Kvartað er yfir sendingu Íslandsbanka á markpósti til þriggja einstaklinga sem voru bannmerktir í Þjóðskrá, þar af var einn barn að aldri. Tekið er fram að það fellur utan valdsviðs Persónuverndar að ákveða við hvaða aldur megi miða við útsendingu á markpósti. Það fellur hins vegar undir hennar hlutverk að fjalla um fylgni við reglur um andmæli einstaklinga gegn því að vera á markpóstlistum og afmarkast úrlausnarefni máls þessa við það.

3.
Lagaákvæði um andmæli og bannskrá
Svo að vinna megi með persónuupplýsingar verður ávallt að vera fullnægt einhverju skilyrðanna í 1. mgr. 8. gr. laga nr. 77/2000. Í 7. tölul. 1. mgr. 8. gr. segir að sú vinnsla sé heimil sem sé nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Vinnsla í þágu markaðssetningar hefur verið talin geta þjónað lögmætum hagsmunum, og þá geta samrýmst þessu ákvæði, enda hafi verið gætt hagsmuna þeirra sem hlut eiga að máli. Til þess þarf m.a. að virða ákvæði um andmælarétt.

Um andmæli gegn vinnslu persónuupplýsinga í markaðssetningarstarfsemi gildir ákvæði 2. mgr. 28. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Samkvæmt henni heldur Þjóðskrá Íslands skrá yfir þá sem ekki vilja að unnið sé með persónuupplýsingar um sig af aðilum sem stunda markaðssetningarstarfsemi. Hefur sú skrá verið kölluð bannskrá. Þeir sem nota skrár með nöfnum, heimilisföngum, netföngum, símanúmerum og þess háttar, eða miðla þeim til þriðja aðila í tengslum við slíka starfsemi, skulu, áður en slík skrá er notuð í slíkum tilgangi, bera hana saman við bannskrá til að koma í veg fyrir að markpóstur verði sendur eða hringt verði til einstaklinga sem hafa andmælt slíku. Fyrir liggur að kvartendur voru allir bannmerktir í þjóðskrá. Af þeim sökum var brotið gegn framangreindu ákvæði 2. mgr. 28. gr. laga nr. 77/2000 þegar bankinn sendi þeim þann markpóst sem barst þeim hinn 29. mars 2012.

Ú r s k u r ð a r o r ð :

Íslandsbanki braut gegn 2. mgr. 28. gr. laga nr. 77/2000 með útsendingu markpósts sem barst A, B og syni þeirra hinn 29. mars 2012, enda eru þau öll bannmerkt í Þjóðskrá.