Vinnsla Landsbankans á upplýsingum frá Spkef sparisjóði - mál nr. 2014/283

19.11.2014

Úrskurður

Hinn 22. október 2014 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2014/283:

I.
Málavextir og bréfaskipti
1.
Persónuvernd hefur borist kvörtun, dags. 10. febrúar 2014, frá [A] (hér eftir nefndur „kvartandi“) yfir Creditinfo-Lánstrausti hf. og Landsbankanum hf. Kvartað er yfir að upplýsingar um að hann hafi orðið gjaldþrota fyrir rúmum þremur árum séu enn skráðar í bankanum, sem og að upplýsingunum sé miðlað á milli stofnana fyrir tilstilli Creditinfo-Lánstrausts, þ.e. á lánayfirliti sem fyrirtækið útbýr, en umræddum upplýsingum var miðlað til fyrirtækisins frá Landsbankanum í tengslum við gerð yfirlitsins.

2.
Með bréfi, dags. 25. febrúar 2014, var Creditinfo Lánstrausti og Landsbankanum veitt færi á að tjá sig um þessa kvörtun. Landsbankinn svaraði með bréfi, dags. 4. mars 2014, og Creditinfo Lánstraust með bréfi, dags. 10. s.m. Í svari Landsbankans kemur fram að umræddar upplýsingar um kvartanda lúta að afskriftum á kröfum á hendur honum [...]. Þá kemur fram að bankinn telur varðveislu umræddra upplýsinga meðal annars styðjast við 3. og 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu og til að gæta lögmætra hagsmuna sem vega þyngra en grundvallarréttindi og frelsi hins skráða. Auk þess segir:

„Landsbankinn lítur svo á að fjármálafyrirtæki hafi bæði lagaskyldu og samningsskyldu til að skrá og varðveita slíkar upplýsingar í kerfum sínum. Í 1. málsl. 1. mgr. 17. gr. laga nr. 161/2002, um fjármálafyrirtæki, kemur fram að fjármálafyrirtæki skuli á hverjum tíma hafa yfir að ráða tryggu eftirlitskerfi með áhættu í tengslum við starfsemi sína. Slíkt eftirlitskerfi byggir eðli máls samkvæmt á nákvæmri skráningu á viðskiptaupplýsingum sem skipta máli fyrir áhættur og áhættumat. Umræddar viðskiptaupplýsingar varða lánsviðskipti og tengjast því útlánaáhættu. Því er ljóst að fjármálafyrirtæki ber að skrá slíkar upplýsingar.“

Einnig segir að viðskipti, sem umræddar upplýsingar lúta að, byggi á tvíhliða samningssambandi fjármálafyrirtækis og viðskiptavinar. Auk framangreindrar lagaskyldu hafi fjármálafyrirtæki samningsskyldu til að skrá og varðveita slíkar upplýsingar, enda verði að telja að skráning og varðveisla upplýsinganna sé í samræmi við eðlilega og heilbrigða viðskiptahætti og venjur á fjármálamarkaði. Í þessu sambandi vísar Landsbankinn til 1. mgr. 26. laga nr. 77/2000, þess efnis að þegar ekki sé lengur málefnaleg ástæða til að varðveita persónuupplýsingar skuli eyða þeim, en málefnaleg ástæða til varðveislu geti meðal annars byggst á fyrirmælum í lögum eða á því að enn sé unnið með upplýsingar í samræmi við upphaflegan tilgang með öflun þeirra. Þá segir meðal annars:

„Landsbankinn telur ríka hagsmuni og málefnalegar ástæður standa til þess að varðveita upplýsingar um öll lánsviðskipti sem viðskiptavinur hefur átt við bankann óháð því hvort umræddum viðskiptum sé lokið, sem og tímamörkum frá lokum þeirra. Þá telur Landsbankinn bæði eðlilegt og nauðsynlegt að varðveita slíkar upplýsingar. Bankanum er þá enda kleift að leggja heildstætt og nákvæmt mat á forsendur hugsanlegra viðskipta sem viðskiptavinur kann síðar að óska eftir gagnvart bankanum. Slíkt er jafnframt nauðsynlegt til að meta áhættu af væntanlegum viðskiptum og viðkomandi viðskiptavinum. Að þessu leyti er bankinn því enn að vinna með slíkar upplýsingar í samræmi við upphaflegan tilgang með söfnun þeirra. Hins vegar er engan veginn öruggt að byggt verði á slíkum upplýsingum þegar tekin er ákvörðun um hugsanleg ný viðskipti. Komi til mats á hugsanlegum nýjum viðskiptum verður í samræmi við reglur bankans leitað eftir nýjum upplýsingum sem gefa munu uppfærða mynd af forsendum hugsanlegra viðskipta. Í ljósi framangreinds eru ekki forsendur fyrir hendi til að skylda bankann til að eyða umræddum upplýsingum.“

Varðandi miðlun umræddra upplýsinga frá Landsbankanum til Creditinfo Lánstrausts segir í bréfi bankans:

„Hvað varðar þann hluta kvörtunarinnar er lýtur að miðlun upplýsinganna skal það tekið fram að Landsbankanum barst fyrirspurn frá Creditinfo-Lánstrausti vegna kvörtunar [A]. Af fyrirspurninni sem og kvörtun málsins má ráða að [A] hafi óskað eftir fyrirgreiðslu hjá tilteknum banka og skrifað undir samþykki þess efnis að svokallað skuldastöðuyfirlit yrði sótt til Creditinfo-Lánstrausts áður en fyrirgreiðslan yrði afgreidd.

Á skuldastöðuyfirliti birtast aðeins kröfur í vanskilum. Þegar kröfur fyrnast afskrifar Landsbankinn þær og samtímis falla þær af skuldastöðuyfirliti. Ástæðan fyrir því að krafan á hendur [A] hafði ekki fallið af skuldastöðuyfirliti var sú að á kröfunni var ábyrgðarmaður sem átti eftir að sækja á til innheimtu skuldarinnar. Þegar hins vegar kvörtun [A] barst Landsbankanum frá Creditinfo-Lánstrausti ákvað bankinn að afskrifa kröfuna.

Landsbankinn hefur í kjölfarið á móttöku framangreindrar kvörtunar ákveðið að breyta verklagi í sambærilegum málum og mun framvegis gæta að því að kröfur verði afskrifaðar í kerfum bankans um leið og þær fyrnast.“

Í fyrrgreindu svari Credinfo Lánstrausts segir:

„Hér er rétt að taka fram að öll miðlun úr skuldastöðukerfi Creditinfo er óheimil án upplýsts samþykkis þess sem flett er upp í kerfinu. Upplýsingum er því einvörðungu miðlað að því gefnu að sannanlegt samþykki liggi fyrir. Allar uppflettingar eru vistaðar (loggaðar) og öllum sem flett er upp í kerfinu er send tilkynning um uppflettninguna, m.a. til málshefjanda.

Creditinfo hafði samband við Landsbankann (og aðra þátttakendur í skuldastöðukerfinu) til að fá upplýsingar um hvort á lánayfirlitum þeirra kæmu almennt fram upplýsingar um fyrndar kröfur. Fram kom í erindi Creditinfo að félagið lítur á slíkar kröfur með sama hætti og lögin, þ.e. að fyrnd krafa er ekki lengur til sem fjárhagsskuldbinding – og því eiga slíkar upplýsingar tæpast heima á yfirliti yfir fjárhagsskuldbindingar. Hér var einnig vísað til samnings Creditinfo við þátttakendur þar sem í eðli máls liggur að kerfið miðli einvörðungu upplýsingum um ófyrndar skuldbindingar.

Sú upplýsingasöfnun er enn í gangi. Þegar þetta er ritað hafa flestir þeirra svarað og staðfest að þeirra yfirlit innihalda ekki upplýsingar um fyrndar kröfur, utan einn sem segir að það taki allt að fimm mánuði að hreinsa út slíkar upplýsingar um fyrndar kröfur. Creditinfo hefur bent viðkomandi á aðferð til að finna slíkt út með mun hraðvirkari hætti, a.m.k. hvað varðar kröfur sem fyrnast vegna gjaldþrotaskipta.

Erindi Persónuverndar var einnig sent til Landsbankans, sem kann best að skýra málið frá sinni hlið hvað bankann varðar. Í svari við fyrirspurn Creditinfo til bankans hefur þó komið fram að bankinn miðlar ekki fyrndum kröfum inn í skuldastöðukerfið. Þó kemur fyrir að tilteknar tryggingar (t.d. veð eða sjálfskuldarábyrgð) tefja stundum fyrir að fyrnd krafa sé afmáð úr kerfum bankans, og gerðist það m.a. í tilviki málshefjanda. Í svarinu kom einnig fram að fyrnd krafa málshefjanda yrði fljótlega afmáð úr kerfum bankans.“

3.
Með bréfi, dags. 25. mars 2014, ítrekuðu með bréfi, dags. 27. maí s.á., veitti Persónuvernd kvartanda færi á að tjá sig um framangreind svör Landsbankans og Creditinfo Lánstrausts. Hann svaraði með bréfi hinn 2. júní 2014. Þar segir að hann sé sáttur við skýringar Credinfo Lánstrausts en ekki Landsbankans. Þá segir að hann hafi einungis átt skammvinn viðskipti við Landsbanka Íslands [á tilteknu tímabili]. Hins vegar vegar hafi hann átt mikil viðskipti við Sparisjóð [X], þ.e. allt frá árinu [...] þangað til sjóðurinn féll árið 2008. Upplýsingar um viðskipti hans þar hafi ekki átt að berast Landsbankanum þar sem hann var ekki í viðskiptum við þann banka. Í því sambandi vísar kvartandi til 17. gr. a í lögum nr. 161/2002 um fjármálafyrirtæki þar sem fram kemur að fjármálafyrirtæki skal halda sérstaka skrá um alla sem njóta lánafyrirgreiðslu þess, þ.e. svonefnda skuldbindingaskrá, enda nemi brúttóskuld viðkomandi fjármálafyrirtækis að lágmarki 300 milljónum króna.

4.
Að fengnu framangreindu bréfi kvartanda greindi Persónuvernd Creditinfo Lánstrausti frá því, með bréfi, dags. 31. júlí 2014, að í ljósi þess að kvartandi sættist á skýringar fyrirtækisins væri lokið afskiptum stofnunarinnar af þeim þætti málsins. Málinu var hins vegar fram haldið hvað Landsbankann varðaði og með bréfi, dags. s.d., óskaði Persónuvernd þess að hann:

1. staðfesti hvort þær kröfur á hendur kvartanda, sem hér um ræðir, hefðu orðið til í viðskiptum við aðra fjármálastofnun sem sameinuð var bankanum; og, ef svo væri,
2. upplýsti hvort viðskiptamönnum þeirrar fjármálastofnunar hefði verið veitt færi á að ráðstafa sínum hagsmunum áður en til yfirfærslu persónuupplýsinga kom, s.s. með því að færa lánaviðskipti, sem þar höfðu verið, til fjármálastofnunar að eigin vali.

Landsbankinn svaraði með bréfi, dags. 5. september 2014, sbr. og tölvubréf hinn 19. s.m. Í þeim svörum segir meðal annars að umræddar kröfur á hendur kvartanda hafi orðið til í viðskiptum hans við Sparisjóð Vestfjarða sem viðskiptum við Sparisjóð [X] hafði verið ráðstafað til. Einnig er vísað til þess að Sparisjóður Vestfjarða sameinaðist síðar Sparisjóði Keflavíkur sem ráðstafað var til Spkef. Kemur fram að sá sparisjóður afskrifaði kröfurnar. Þá segir í tölvubréfinu 19. september 2014:


„Hinn 5. mars 2011 ákvað Fjármálaeftirlitið á grundvelli heimildar í VI. ákvæði til bráðabirgða í lögum nr. 161/2002, um fjármálafyrirtæki, sbr. IV. ákvæði til bráðabirgða í lögum nr. 44/2009, að taka yfir vald stofnfjáreigendafundar Spkef sparisjóðs og ákvað að NBI hf. [nú Landsbankinn] tæki í einu lagi frá og með 7. mars 2011 við rekstri, eignum og skuldbindingum Spkef sparisjóðs Þ.
 
Umrædd ákvörðun var tekin af Fjármálaeftirlitinu og hafði mjög stuttan aðdraganda. Landsbankanum gafst því ekki færi á að veita viðskiptamönnum Spkef sparisjóðs kost á að ráðstafa hagsmunum sínum áður en Landsbankinn tók yfir réttindi og skyldur Spkef sparisjóðs.
 
Landsbankinn hefur þó ekki upplýsingar um hvort Fjármálaeftirlitið greip til slíkra ráðstafana áður en umrædd ákvörðun kom til framkvæmda.“

Með tölvubréfi hinn 31. júlí 2014 óskaði Persónuvernd nánari skýringa frá Landsbankanum varðandi framangreint, þ.e. hvort bankinn hefði, þegar persónuupplýsingar um viðskiptavini sparisjóðs Spkef færðust yfir til hans, veitt viðskiptavinum sjóðsins fræðslu þar að lútandi. Landsbankinn svaraði með tölvubréfi hinn 15. október 2014. Þar segir að um hafi verið að ræða samruna án skuldaskila, þ.e. algera sameiningu með yfirtöku eigna og skulda. Því hafi ekki verið um að ræða öflun upplýsinga frá þriðja aðila heldur að Spkef sparisjóður varð hluti af NBI, nú Landsbankanum. Engu að síður hafi öllum viðskiptavinum sparisjóðsins verið sent bréf hinn 17. mars 2011 þar sem umræddur samruni var kynntur og viðskiptamenn látnir vita hvaða afleiðingar hann hefði, þ.e. að öll útibú sparisjóðsins væru nú orðin útibú NBI og starfsmenn þeirra því starfsmenn hans; viðskiptavinir gætu eftir sem áður leitað til síns þjónustufulltrúa með öll bankaviðskipti; og fyrst um sinn yrði reikningum, reikningsnúmerum og netbönkum haldið óbreyttum, en síðar yrðu viðskiptavinir fluttir yfir í kerfi NBI. Gerð yrði nánari grein fyrir þessu á síðari stigum. Um það segir nánar:
 

„Síðar voru send sérstök bréf til viðskiptavina eftir útibúum. Hinn 21. mars 2011 voru viðskiptavinum Spkef sparisjóðs í Ólafsvík send bréf vegna flutningsins. Hinn 27. mars 2011 voru viðskiptavinum Spkef í Grindavík og Vestfjarða send bréf vegna flutningsins. Hinn 29. mars 2011 voru viðskiptavinum Spkef á Hvammstanga send bréf vegna flutningsins. Loks voru send bréf 1. apríl 2011 á alla aðra viðskiptavini Spkef. Í bréfunum voru viðskiptavinirnir upplýstir um ný reikningsnúmer og atriði tengd netbanka og fleira.
 
Eins og sést á meðfylgjandi mynd voru upplýsingar um viðskiptavini Spkef í Ólafsvík ekki færðar yfir í Landsbankann fyrr en 25. mars 2011. Upplýsingar um viðskiptavini Spkef sparisjóðs í Grindavík voru færðar yfir 5. apríl 2011. Upplýsingar um viðskiptavini Spkef sparisjóðs Vestfjarða voru færðar yfir 8. apríl 2011. Upplýsingar um viðskiptavini Spkef sparisjóðs í Njarðvík voru færðar yfir 12. apríl 2011. Upplýsingar um viðskiptavini Spkef sparisjóðs í Keflavík og Sandgerði voru færðar yfir 15. apríl 2011. Upplýsingar um viðskiptavini Spkef sparisjóðs í Garði voru færðar yfir 18. apríl 2011. Loks voru upplýsingar um viðskiptavini Spkef sparisjóðs á Hvammstanga og Vogum færðar yfir 20. apríl 2011.“

II.
Forsendur og niðurstaða
1.
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.


2.
Vinnsla persónuupplýsinga er heimil ef einhverju af skilyrðum 1. mgr. 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er fullnægt. Við mat á heimildum samkvæmt 8. gr. verður að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Eins og hér háttar til reynir á ákvæði í lögum nr. 161/2002 um fjármálafyrirtæki sem fyrst voru felld þar inn með lögum nr. 125/2008 um heimild til fjárveitingar úr ríkissjóði vegna sérstakra aðstæðna á fjármálamarkaði o.fl., sbr. síðar lög nr. 44/2009.

Hér er nánar tiltekið um að ræða reglur sem nú er mælt fyrir um í VI. ákvæði til bráðabirgða í lögum nr. 161/2002. Í 3. mgr. þess ákvæðis er mælt fyrir um að séu aðstæður mjög knýjandi geti Fjármálaeftirlitið tekið yfir vald hluthafafundar eða fundar stofnfjáreigenda í því skyni að taka ákvarðanir um nauðsynlegar aðgerðir, m.a. takmarkað ákvörðunarvald stjórnar, vikið stjórn frá að hluta til eða í heild sinni, tekið yfir eignir, réttindi og skyldur fjármálafyrirtækis í heild eða að hluta eða ráðstafað slíku fyrirtæki í heild eða að hluta. Þá er meðal annars tekið fram að Fjármálaeftirlitinu sé heimilt að framselja öll réttindi að því marki sem nauðsynlegt sé í slíkum tilfellum.

Samkvæmt 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000 er heimilt að vinna með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu. Þá segir í 7. tölul. sömu málsgreinar að heimilt sé að vinna með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Fyrir liggur að hinn 5. mars 2011 tók Fjármálaeftirlitið ákvörðun á grundvelli framangreindra reglna VI. ákvæðis til bráðabirgða í lögum nr. 161/2002, þess efnis að eignum og skuldum Spkef sparisjóðs skyldi ráðstafað til NBI hf., nú Landsbankans. Í 1. tölul. ákvörðunarinnar segir að NBI taki við öllum rekstri, eignum og skuldbindingum Spkef sparisjóðs. Þá segir að um sé að ræða samruna án skuldaskila þannig að Spkef sé algerlega sameinaður NBI með yfirtöku eigna og skulda.

Umrætt ákvæði laga nr. 161/2002 hefur það meðal annars að markmiði að unnt sé að ráðstafa öllum réttindum og skyldum fjármálafyrirtækis til nýs fyrirtækis þegar Fjármálaeftirlitið tekur ákvörðun þar að lútandi. Slíkri ákvörðun er ekki unnt að framfylgja nema upplýsingar um viðskiptamenn flytjist til hins nýja aðila og varðveitist þar með sama hætti og hjá hinum fyrri.

Eins og fyrr greinir lúta umræddar upplýsingar að viðskiptasögu kvartanda hjá Spkef sparisjóði. Í ljósi fyrrnefnds ákvæðis 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 hefur verið á því byggt að einstaklingum og lögaðilum sé heimilt að varðveita upplýsingar um löggerninga og viðskipti sem þeir hafa sjálfir átt aðild að. Kvartandi hefur vísað til 17. gr. a í lögum nr. 161/2002 í því sambandi, sbr. lög nr. 75/2010, þar sem fjallað er um svonefnda uppfærða skuldbindingaskrá sem hverju og einu fjármálafyrirtæki er ætlað að halda „um alla þá sem njóta lánafyrirgreiðslu þess“. Fram kemur í ákvæðinu að með lánafyrirgreiðslu sé átt við tilteknar fjármálaráðstafanir, „enda nemi brúttóskuld viðkomandi við fjármálafyrirtækið að lágmarki 300 millj. kr.“ Í athugasemdum við 8. gr. í greinargerð með því frumvarpi, sem varð að lögum nr. 75/2010 um breytingu á lögum nr. 161/2002, segir að um sé að ræða „sérstaka skrá“ fjármálafyrirtækis yfir viðskiptamenn fjármálafyrirtækja „sem eru það kerfislega mikilvægir, eða stórir, að áföll í rekstri þeirra kunni að hafa áhrif út fyrir viðskiptasamband þeirra og viðkomandi fjármálafyrirtækja.“ Þrátt fyrir fyrrgreint orðalag um „alla“ sem njóta fyrirgreiðslu verður því ekki séð að með ákvæðinu hafi ætlun löggjafans verið sú að banna hefðbundna skráningu viðskiptaupplýsinga. Í ljósi þessa, sem og fyrrgreinds ákvæðis 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, telur Persónuvernd því Spkef sparisjóði hafa verið varðveisla umræddra upplýsinga heimil. Þegar litið er til VI. ákvæðis til bráðabirgða í lögum nr. 161/2002 og framangreindrar ákvörðunar Fjármálaeftirlitsins á grundvelli þess ber að telja þá heimild hafa yfirfærst til Landsbankans. Er niðurstaða Persónuverndar því sú að varðveislan sem slík samrýmist lögum nr. 77/2000, en auk þess verður ekki séð að í ljósi þeirra laga sé tilefni til athugasemda við hvernig staðið var að fræðslu til viðskiptavina Spkef sparisjóðs við þá yfirfærslu.

Hvað varðar miðlun Landsbankans á upplýsingum um umræddar kröfur á hendur kvartanda í skuldastöðukerfi Creditinfo Lánstrausts telur Persónuvernd meðal annars reyna á fyrrgreint ákvæði 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Í ljósi þess má telja fjármálastofnunum heimilt að miðla upplýsingum inn í kerfið svo að þær megi gera aðgengilegar annarri fjármálastofnun sem hefur til meðferðar umsókn einstaklings um fyrirgreiðslu. Þeirri fjármálastofnun skal þó hafa borist beiðni viðkomandi einstaklings um uppflettingu, en auk þess verður miðlunin að samrýmast grunnreglum 1. mgr. 7. gr. laga nr. 77/2000, þ. á. m. 3. tölul. um að við vinnslu persónuupplýsinga skal þess gætt að upplýsingarnar séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar. Það ákvæði hefur í för með sér að fjármálastofnun, sem miðlar upplýsingum inn í umrætt kerfi, ber að gæta þess að um sé að ræða gildar kröfur, en upplýsingum um fyrndar kröfur á því ekki að miðla. Samkvæmt 2. mgr. 165. gr. laga nr. 91/1991 um gjaldþrotaskipti o.fl., sbr. lög nr. 142/2010, fyrnast kröfur á tveimur árum frá því að gjaldþrotaskiptum lýkur. Ljóst er að kröfur á hendur kvartanda voru fyrndar samkvæmt þessu ákvæði, en af því leiðir jafnframt að Landsbankanum var umrædd miðlun óheimil.


 Ú r s k u r ð a r o r ð:

Varðveisla Landsbankans hf. á upplýsingum um afskriftir Spkef sparisjóðs á kröfum á hendur [A] samrýmist lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Miðlun bankans á upplýsingum um kröfur sem eru fyrndar í skuldastöðukerfi Creditinfo-Lánstrausts hf. brast hins vegar heimild samkvæmt lögunum.