Notkun upplýsinga frá umboðsmanni skuldara - mál nr. 2012/564

23.10.2012

Ákvörðun

Í samræmi við niðurstöðu á fundi stjórnar Persónuverndar hinn 9. október 2012 hefur stofnunin tekið svohljóðandi ákvörðun í máli nr. 2012/564:

I.
Málavextir og bréfaskipti

1.
Kvörtun
Hinn 17. apríl 2012 barst Persónuvernd kvörtun frá A (hér eftir nefndur „kvartandi“) yfir að Kreditkort hf. hafi merkt það í viðskiptamannaskrá sína að borist hafi upplýsingabeiðni um fjárhagsmálefni hans frá umboðsmanni skuldara, sem og notað þær upplýsingar í starfsemi sinni. Í framhaldi af því synjaði fyrirtækið honum um aukna heimild á greiðslukorti.

2
Aðdragandi máls og bréfaskipti
Aðdragandi málsins er sá að kvartandi leitaði til Lánasjóðs íslenskra námsmanna (LÍN) þar sem hann taldi sig eiga rétt á tiltekinni leiðréttingu á námsláni. LÍN hafði þá leiðbeint honum um að leita ráðgjafar umboðsmanns skuldara. Kvartandi hlítti þeim ráðum og þegar til embættis umboðsmanns var komið veitti hann því heimild til öflunar upplýsinga um fjárhagsstöðu sína hjá fjármálastofnunum. Úrlausnarefni máls þessa afmarkast hins vegar aðeins við þá vinnslu sem Kreditkort ber ábyrgð á og ekki umboðsmaður skuldara.

Í kvörtuninni segir m.a.:

„…Þrisvar sinnum hefur fyrirtækið á 6 mánuðum synjað mér um aukna heimild á þessari forsendu að ég hefi leitað ráða hjá umboðsmanni skuldara. Í gær þegar mér var enn synjað fyrirgreiðslu á þessari forsendu krafðist ég skriflega þess að fá afrit af öllum upplýsingum sem UMS hefði gefið fyrirtækinu um mig, sérstaklega þar sem erindi mitt til UMS var þess eðlis að útilokað væri að það gæfi efnislegar ástæður til að rýra lánstraust mitt. Meðfylgjandi er svar fjármálastjóra Kreditkorta og vísa ég bæði til þess og svars míns til hans sem einnig er hluti tölvupóstsins....“

Með fylgdi afrit af bréfi kvartanda til Kreditkorts, dags. 17. apríl 2012. Þar segir m.a.:

„Þrisvar sinnum hef ég líka svarað ykkur og upplýst ykkur um að ég leitaði til UMS af því að ég taldi mig eiga rétt á tiltekinni leiðréttingu hjá LÍN og LÍN vísaði mér þangað til að yfirfara stöðu okkar í stað þess að starfsmenn LÍN gerðu það. Hjá UMS tókum við strax fram að við værum ekki þangað komin til að frá greiðsluaðlögun eða neitt þess háttar heldur eingöngu í þágu þessarar óskar um leiðréttingu tekjutengdrar afborgunar (seinni afborgunar) LÍN.

Það virðist hins vegar vera sjálfvirkt að áður en UMS veitti okkur neina ráðgjöf óskaði fulltrúi hans eftir umboði sér til handa til að afla upplýsinga um skuldir okkar hjá fjármálastofnunum. Slíku er maður vanur við mat á lánstrausti án þess að það hafi afleiðingar annarsstaðar en þar sem matið fer fram. Þegar slíkt er gert við lánshæfismat banka eða t.d. Íbúðalánasjóðs virðist það vera gert með uppflettingu í tölvukerfum – ekki með beinum fyrirspurnum – svo við vorum grunlaus um að afrit af umboðinu og tilkynning um að við hefðum leitað til UMS væri send öllum fjármálastofnunum – hvað þá að sú tilkynning væri svo færð inn í gögn lánastofnunar með merkingu til að synja okkur fyrirgreiðslu á þeim forsendum að við hefðum leitað ráða hjá UMS. […]“

Með bréfi Persónuverndar til Kreditkorts, dags. 15. maí 2012, var fyrirtækinu veittur kostur á að tjá sig um umrædda kvörtun. Svarað var með bréfi, dags. 22. s.m. Þar segir að þegar fyrirtækið fái slík gögn frá umboðsmanni skuldara, sem hér um ræðir, séu embætti hans sendar umbeðnar upplýsingar og í kjölfarið sé skráð í kerfi fyrirtækisins að slíkt atvik hafi átt sér stað. Þá segir:

„Kreditkort skráir öll samskipti við viðskiptavini þar sem það er liður í útlánastýringu fyrirtækisins og teljum við að ekkert óeðlilegt sé við það ferli. Jafnframt telur Kreditkort að upplýsingar sem þessar séu mjög mikilvægar við útlánastýringu fyrirtækisins og gefi ákveðið merki um að viðskiptavinur sé í fjárhagsvandræðum.

Hvað varðar synjanir á beiðnum um hækkanir á heimildum þá eru mun fleiri þættir sem vega þyngra heldur en að A  hafi sótt um ráðgjöf hjá umboðsmanni skuldara. Ávallt er skoðuð fyrri greiðslusaga og eignastaða viðkomandi við slíka beiðni.“

Með bréfi, dags. 19. júní 2012, var kvartanda veitt færi á að tjá sig um framangreint svar Kreditkorts hf. Hann kom athugasemdum sínum á framfæri munnlega í símtali hinn 23. ágúst 2012. Hann taldi fyrirtækinu ekki hafa verið heimilt að skrá það í upplýsingakerfi sitt að hann hefði leitað ráðgjafar hjá umboðsmanni skuldara. Ef hann hefði sjálfur fengið færi á að veita upplýsingar hefði hann annaðhvort getað hundsað það að veita þær, og þar með hætt við umsókn hjá Kreditkorti, eða veitt skýringar, s.s. þær að greiðslugeta hans væri ekki slæm og að ástæða þess að hann leitaði ráðgjafar hjá umboðsmanni hafi verið tilvísun frá LÍN þar sem hann sótti um niðurfellingu á greiðslu af námsláni vegna tímabundins atvinnuleysis.  Lánastofnanir hefðu ekki heimild til að skrá hvað sem væri um viðskiptavini sína. Þær upplýsingar, sem Kreditkort fékk í hans tilviki, hafi ekki lotið að vanskilum eða neinu slíku. Þá hafi Kreditkort notað þær í allt öðrum tilgangi en þeim sem þær voru veittar í. Loks sagði hann að fjármálafyrirtækjum gæti verið fengur í ýmsum upplýsingum, en þau ættu að biðja um þær. Fyrirkomulag eins og hjá Kreditkorti væri samfélagslega skaðlegt, því skuldarar væru hópur sem ekki risi endilega upp í fjölmiðlum.

II.
Forsendur og niðurstaða

1.
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

2.
Öll vinnsla persónuupplýsinga verður að eiga sér stoð í lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Í því felst m.a. að ávallt verður að vera fullnægt einhverju af skilyrðum 8. gr. laganna. Litið hefur verið svo á að vinnsla fjármálafyrirtækja á upplýsingum um fasta viðskiptavini geti átt sér stoð í 1. mgr. 8. gr. Hún getur í vissum tilvikum verið heimil á þeim grundvelli að hún sé nauðsynleg til að efna samning sem hinn skráði er aðili að eða til að gera ráðstafanir að beiðni hans áður en samningur er gerður, sbr. 2. tölul.

Einnig hefur verið litið svo á að slík vinnsla geti byggst á 7. tölul. 1. mgr. 8. gr., þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg í þágu lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Meðal annars hefur verið talið að í lána- og greiðslukortaviðskiptum geti vinnsla fjárhagsupplýsinga um lánþega samrýmst þessu ef hún er nauðsynleg í þágu lögmætra hagsmuna. Af hálfu Kreditkorts hefur komið fram að vinnsla upplýsinganna, þ.e. um að félaginu hafi borist umrætt erindi frá umboðsmanni skuldara eftir að kvartandi hafði leitað þar ráðgjafar, hafi verið liður í útlánastýringu fyrirtækisins.

Mælt er fyrir um hlutverk umboðsmanns skuldara í 1. gr. laga nr. 100/2010 um embætti hans. Af a- og c-liðum 2. mgr. þeirrar greinar verður ráðið að aðkoma hans að málum einstaklinga tengist annars vegar ráðgjöf um fjárhagsmálefni og hins vegar greiðsluaðlögun einstaklinga. Eins og fram kemur í lögum um slíka greiðsluaðlögun, nr. 101/2010, er hún ætluð þeim sem eiga í verulegum greiðsluerfiðleikum. Eins og mælt er fyrir um í a-lið 2. mgr. 1. gr. laga nr. 100/2010 er ráðgjöf umboðsmanns skuldara einnig ætluð þeim sem eiga við slíka erfiðleika að etja.

Eins og fram kemur í gögnum málsins kom kvartandi þeim skýringum á framfæri við Kreditkort að hann hefði fengið ráðgjöf hjá umboðsmanni skuldara í tengslum við ósk um leiðréttingu á námsláni hjá Lánasjóði íslenskra námsmanna. Í 8. gr. laga nr. 21/1992 um lánasjóðinn er fjallað um endurgreiðslu námslána. Samkvæmt 1. mgr. ákvæðisins er annars vegar um að ræða fasta, árlega greiðslu óháða tekjum og hins vegar árlega, tekjutengda viðbótargreiðslu. Samkvæmt 6. mgr. ákvæðisins er heimilt að veita undanþágu frá greiðslum samkvæmt 1. mgr. að tilteknum skilyrðum uppfylltum. Ljóst er af ákvæðinu að undanþága verður ekki veitt nema ráðstöfunarfé lánþega eða möguleikar hans til að afla tekna hafi skerst til muna eða tilteknar aðstæður valdi honum eða fjölskyldu hans verulegum fjárhagsörðugleikum.

Af framangreindu leiðir að Kreditkort hafði, að mati Persónuverndar, réttmæta ástæðu til að telja umrædda upplýsingabeiðni frá umboðsmanni skuldara geta skipt máli um mat á lánshæfi kvartanda gagnvart fyrirtækinu og vinnsluna því geta verið fyrirtækinu nauðsynlega vegna lögmætra hagsmuna sinna. Telst þá skilyrðum ákvæðis 7. tölul. 1. mgr. 8. gr. vera fullnægt, enda liggur ekki fyrir að hagsmunir kvartanda hafi verið slíkir að grundvallarréttindi og frelsi hans hafi vegið þyngra í skilningi ákvæðisins.

3.
Um skyldu til að veita hinum skráða fræðslu við öflun persónuupplýsinga fer eftir 20. og 21. gr. laga nr. 77/2000. Fyrrnefnda ákvæðið gildir um þá fræðslu sem veita ber þegar persónuupplýsinga er aflað hjá hinum skráða sjálfum. Síðarnefnda ákvæðið gildir um það þegar upplýsinga um hinn skráða er aflað frá þriðja aðila. Í umræddu tilviki bárust Kreditkorti óumbeðnar upplýsingar frá umboðsmanni skuldara. Fyrirtækið hafði ekki frumkvæði að öflun þeirra og ekkert liggur fyrir um að þeim hafi verið ráðstafað, s.s. með miðlun til þriðja aðila. Verður því ekki talið að á fyrirtækinu hafi hvílt sjálfstæð fræðsluskylda samkvæmt framangreindum ákvæðum. Hins vegar ber því sem ábyrgðaraðila að verða við beiðnum um upplýsingar á grundvelli 18. gr. laganna.

4.
Mál þetta var rætt á fundi stjórnar Persónuverndar hinn 9. október 2012. Auk þess sem ákvörðun þessi var tekin var ákveðið að beina fyrirspurn til umboðsmanns skuldara um með hvaða hætti hann stendur að því að veita fræðslu til þeirra sem til hans leita um ráðgjöf.


Á k v ö r ð u n a r o r ð:

Kreditkorti hf. var heimilt að færa það í sínar skrár að umboðsmaður skuldara hefði óskað upplýsinga um stöðu A gagnvart fyrirtækinu.