Sending kynningarefnis á vinnustað starfsmanns heimil samkvæmt persónuverndarlögum

Mál nr. 2020010318

30.6.2021

Úrskurður

Þann 21. júní 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010318.

I.
Málsmeðferð

1.
Tildrög máls

Þann 3. janúar 2020 barst Persónuvernd kvörtun [A] (hér eftir kvartandi) yfir því að hafa fengið afhent dagatal frá Loftmyndum ehf. (hér eftir Loftmyndir) á vinnustað sínum, en kvartandi er skráður á bannskrá þjóðskrár.

Með bréfi, dags. 28. janúar 2021, var Loftmyndum boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 16. febrúar 2021. Með bréfi, dags. 18. febrúar 2021, var kvartanda gefinn kostur á að koma að athugasemdum við sjónarmið Loftmynda. Bárust athugasemdir kvartanda með bréfi, dags. 3. mars 2021. Persónuvernd óskaði í kjölfarið skýringa á tilteknum atriðum frá Loftmyndum með tölvupósti þann 24. mars 2021 og bárust skýringar með bréfi, dags. 31. mars 2021.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði. 

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

2.
Sjónarmið kvartanda

Kvartandi kveðst hafa fengið afhent dagatal frá Loftmyndum merkt með nafni hennar, á vinnustað hennar í [...] um áramótin 2019 og 2020, ásamt öðrum samstarfsmönnum. Kvartandi kveðst vera skráð á bannskrá þjóðskrár og telur Loftmyndir ekki hafa virt bannmerkinguna. Þá kveður kvartandi vinnuveitanda sinn ekki vera í neinum viðskiptum við Loftmyndir.

3.
Sjónarmið Loftmynda

Af hálfu Loftmynda er byggt á því að [vinnustaðurinn] sé viðskiptavinur fyrirtækisins og lögð fram gögn þess efnis. Þá er byggt á að dagatalið hafi eingöngu verið sent kvartanda sem forsvarsmanns [vinnustaðarins], á vinnustað en ekki á heimili hennar. Tilgangur Loftmynda með sendingunni hafi hvorki verið að fá kvartanda til að skuldbinda sig með einhverjum hætti né að reyna að selja eða bjóða henni þjónustu. Vinnsla Loftmynda hafi byggt á lögmætum hagsmunum félagsins við að beina markaðsefni að viðskiptavini sínum, þ.e. vinnuveitanda kvartanda. Þá árétta Loftmyndir að eingöngu einstaklingar geti skráð sig á bannskrá þjóðskrár, ekki lögaðilar. Mikilvægt sé að gera greinarmun á því hvort viðkomandi móttaki það persónulega eða sem forsvarsmaður lögaðila. Forsvarsmenn viðskiptavina Loftmynda geti ávallt andmælt vinnslu og afþakkað markaðsefni. Loks er tekið fram að Loftmyndir hafi eingöngu unnið með nafn kvartanda sem séu opinberar upplýsingar á vef vinnuveitanda hennar, en ekki hafi verið unnið með aðrar persónulegar upplýsingar um hana. Þá sé ekki unnt að bera saman nafnalista við bannskrá þjóðskrár, þegar eingöngu er unnið með nafn einstaklings. Til þess að unnt sé að bera nafnalista saman við bannskrá þjóðskrár þurfi frekari upplýsingar að koma til en nafn einstaklings, en Loftmyndir hafi ekki unnið með aðrar upplýsingar um kvartanda, sem forsvarsmann viðskiptavinar síns.

II.
Forsendur og niðurstaða

1.
Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Mál þetta lýtur að vinnslu persónuupplýsinga um kvartanda af hálfu Loftmynda og fellur því undir valdsvið Persónuverndar. Þá eru Loftmyndir ábyrgðaraðili að umræddri vinnslu, sbr. 6. tölul. 3. gr. laga nr. 90/2018, sbr. 7. tölul. 4. gr. reglugerðar (ESB) 2016/679.

2.
Niðurstaða

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Sú heimild sem einkum kemur til álita hér eru að vinnsla sé nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, sbr. 6. tölul. 1. mgr. 9. greinar.

Í þessu máli reynir á hvort Loftmyndum hafi verið heimilt að afla upplýsinga um nafn kvartanda, sem var ekki í viðskiptum við fyrirtækið og var á bannskrá þjóðskrár og nota það síðan við beina markaðssetningu, með því að senda henni vöru fyrirtækisins, merkta með nafni á vinnustað, sem fyrirsvarsmanni vinnuveitanda, án þess að bera nafn hennar saman við bannskrá.

Í framkvæmd Persónuverndar hefur verið litið svo á að vinnsla í þágu beinnar markaðssetningar geti m.a. stuðst við hagsmuni þess aðila, sem stendur að markaðssetningunni. Kemur því til skoðunar hvort félagið hafi haft lögmæta hagsmuni til að beina markaðssetningu að kvartanda með því að merkja henni dagatalið sérstaklega sem forsvarsmanni [vinnustaðarins]. Til þess að heimilt sé að vinna með persónuupplýsingar á grundvelli 6. tölul. 1. mgr. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar, þurfa þrjú skilyrði að vera uppfyllt. Í fyrsta lagi þarf vinnsla að fara fram í þágu lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir. Í öðru lagi er áskilið að vinnslan sé nauðsynleg í þágu þeirra hagsmuna. Í þriðja lagi mega hagsmunir og grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga ekki vega þyngra en hagsmunir annarra af vinnslunni.

Af hálfu ábyrgðaraðila hafa verið lögð fram gögn sem sýna fram á að fyrirtækið hafi verið í viðskiptum við [vinnuveitanda] kvartanda og verða því hagsmunir þess af því að beina markaðssetningu að vinnuveitanda hans taldir lögmætir og nauðsynlegir. Hvað varðar þann þátt hagsmunamatsins sem lýtur að því hvort hagsmunir og grundvallarréttindi og frelsi hins skráða skuli vega þyngra þegar um er að ræða beina markaðssetningu þarf meðal annars að líta til þeirra sérreglna sem gilda um bannskrá þjóðskrár.

Þau atvik sem kvartað er yfir áttu sér stað í desember 2019. Þá var enn í gildi 2. mgr. 21. gr. laga nr. 90/2018, þar sem fjallað var um bannskrá þjóðskrár, en ákvæðið var síðar fellt út úr lögunum samhliða gildistöku laga nr. 140/2019 um skráningu einstaklinga. Samkvæmt ákvæðinu bar ábyrgðaraðila sem starfaði í beinni markaðssókn og þeim sem notuðu skrá með nöfnum, heimilisföngum, netföngum, símanúmerum og þess háttar, áður en slík skrá væri notuð í slíkum tilgangi, að bera hana saman við skrá Þjóðskrár Íslands yfir þá sem andmæltu því að nöfn þeirra væru notuð í markaðssetningarstarfsemi, til að koma í veg fyrir að markpóstur yrði sendur eða hringt yrði til einstaklinga sem hefðu andmælt slíku. Samsvarandi ákvæði er nú að finna í 15. gr. áðurnefndra laga nr. 140/2019 um skráningu einstaklinga, sem tóku gildi 1. janúar 2020.

Að mati Persónuverndar er framangreind skylda háð því að sá sem starfar í beinni markaðssókn hafi aðgang að viðbótarupplýsingum, t.a.m. kennitölu, símanúmeri eða heimilisfangi hins skráða, til að geta borið sína skrá saman við bannskrá þjóðskrár með fullnægjandi hætti. Í því tilviki sem hér er til skoðunar höfðu Loftmyndir eingöngu upplýsingar um nafn kvartanda og vinnustað hennar. Ekki verður lögð sú krafa á ábyrgðaraðila að hann auki við þær upplýsingar sem hann þegar hefur eingöngu í þeim tilgangi að uppfylla ákvæði persónuverndarlaga. Þá er einnig til þess að líta að umrætt kynningarefni var sent á starfsstöð vinnuveitanda kvartanda, en ekki heimili hennar, sem og að hinum skráðu stendur ávallt til boða að andmæla frekari vinnslu í þágu markaðssetningar þegar sú vinnsla byggir á lögmætum hagsmunum ábyrgðaraðila eða þriðja aðila. Verður því ekki séð að hagsmunir og grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga hafi vegið þyngra en hagsmunir ábyrgðaraðila af vinnslunni eins og hér stóð á. 

Með vísan til framangreinds er niðurstaða Persónuverndar að vinnsla persónuupplýsinga af hálfu Loftmynda hafi samrýmst 6. tölul. 1. mgr. 8. gr. laga nr. nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679 og 2. mgr. 21. gr. laga nr. 90/2018.

Ú r s k u r ð a r o r ð:

Vinnsla Loftmynda ehf. á persónuupplýsingum um [A] samrýmdist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Persónuvernd, 21. júní 2021

Helga Þórisdóttir                         Vigdís Eva Líndal