Vinnsla Creditinfo Lánstrausts hf. vegna beiðni um eyðingu upplýsinga af vanskilaskrá

Mál nr. 2020010699

26.11.2020

Úrskurður

Hinn 17. nóvember kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010699 (áður 2019112204):

I.

Málsmeðferð

1.

Kvörtun og bréfaskipti

Hinn 22. nóvember 2019 barst Persónuvernd kvörtun frá [B] lögmanni f.h. [A] (hér eftir nefnd kvartandi) yfir synjun Creditinfo Lánstrausts hf. (Creditinfo) á að taka við kröfu kvartanda, á starfsstöð fyrirtækisins, um afskráningu upplýsinga um áritaða stefnu á vanskilaskrá, ásamt yfirlýsingu kröfuhafa um að skuldin væri fallin niður. Einnig var kvartað yfir miðlun Creditinfo á viðkvæmum persónuupplýsingum um kvartanda til lögmanns kröfuhafa og stefnanda.

Með bréfi, dags. 20. mars 2020, var Creditinfo tilkynnt um framangreinda kvörtun og veittur kostur á að tjá sig um hana. Svarbréf Creditinfo barst Persónuvernd 15. apríl s.á.

Með bréfi, dags. 6. maí 2020, var kvartanda boðið að tjá sig um framangreint svar Creditinfo. Svarbréf kvartanda barst Persónuvernd 13. maí s.á.

Með tölvupósti 23. júní 2020 óskaði Persónuvernd eftir frekari upplýsingum frá Creditinfo. Svarbréf fyrirtækisins barst 9. júlí s.á.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þótt ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

2.

Sjónarmið kvartanda

Í kvörtun segir að kvartandi sé af erlendum uppruna og eigi erfitt með að tala íslensku og rita. Creditinfo hafi ekki svarað síma, fyrirtækið hafi hent kvartanda út af starfsstöð og neitað að taka við bréfum frá henni. Vísað er til þess að kvartandi hafi fyrst komist að því að hún væri á vanskilaskrá þegar hún hafi ætlað að leigja íbúð en þá hafi leigusali neitað henni um leigutöku. Kvartandi hafi í kjölfarið reynt mánuðum saman að fá nafn sitt af vanskilaskrá Creditinfo en að henni hafi ávallt verið vísað út af starfsstöð án þess að fyrirtækið færi yfir heimild sína til skráningar og hvort rétt væri að skrá kröfuna á vanskilaskrá.

Þar sem ekki hafi verið rætt við kvartanda af starfsmönnum Creditinfo hafi hún leitað til lögmanns og farið þaðan með skriflega yfirlýsingu kröfuhafa um að skuldin væri niður fallin og bréf, sem hafi verið stílað á Creditinfo, með kröfum og athugasemdum.

Eftir það kveðst kvartandi hafa farið á starfsstöð fyrirtækisins í tvígang en starfsmenn hafi neitað að tala við hana og neitað að taka við bréfum. Í kjölfarið hafi lögmaður kvartanda sent Creditinfo bréf, sem hafi innihaldið mjög viðkvæmar persónuupplýsingar, og krafist svara um framkomu fyrirtækisins og afskráningu viðkomandi kröfu á vanskilaskrá þess. Samkvæmt fylgigögnum með kvörtun sendi lögmaður kvartanda Creditinfo umrætt bréf, dags. 18. nóvember 2019, með tölvupósti 19. s.m.

Creditinfo hafi ekki orðið við beiðni kvartanda en hafi þó tilkynnt um afskráningu kröfunnar þar sem fyrirtækið hefði að eigin frumkvæði haft samband við lögmann kröfuhafa/stefnanda og rætt viðkvæmar persónuupplýsingar kvartanda við viðkomandi.

Með vísan til framangreinds óskar kvartandi eftir viðbrögðum Persónuverndar um það hvort Creditinfo hafi farið fram með ásættanlegum hætti í þessu máli.

3.

Sjónarmið Creditinfo

Creditinfo vísar meðal annars til þess að samkvæmt gildandi starfsleyfi fyrirtækisins (mál nr. 2017/1541 hjá Persónuvernd) hafi það heimild til að skrá á vanskilaskrá upplýsingar dómstóla um skuldara samkvæmt áritunum dómara á stefnur í málum þar sem ekki hefur verið mætt fyrir stefnda við þingfestingu máls eða þingsókn hefur síðan fallið niður af hans hálfu, sbr. 113. gr. laga nr. 91/1991. Sams konar heimild hafi verið í starfsleyfi því sem hafi verið í gildi á þeim tíma sem sú skráning sem kvörtun þessi lýtur að hafi farið fram.

Þegar krafa sé að fullu greidd eða henni komið í skil með öðrum hætti afskrái áskrifendur Creditinfo, þ.e. umboðsmenn kröfuhafa, færslur af vanskilaskránni. Þetta sé í samræmi við ákvæði 2.9. c. í starfsleyfi fyrirtækisins og ákvæði í samningum við áskrifendur.

Einnig segir að eins og fram komi í grein 2.7. í starfsleyfinu, sem í gildi var þegar málsatvik áttu sér stað, skuli eyða upplýsingum um einstakar skuldir ef vitað er að þeim hafi verið komið í skil. Þá segi í grein 2.3. að óheimilt sé að miðla upplýsingum um skuld ef fjárhagsupplýsingastofu er kunnugt um að hún sé ekki lengur í vanskilum, s.s. vegna skuldajöfnuðar, vegna þess að hún hafi verið felld niður, greidd eða henni komið í skil með öðrum hætti. Í grein 2.5. í starfsleyfinu komi einnig fram að dragi hinn skráði áreiðanleika upplýsinga í efa og greini t.d. frá því að skuld hafi verið komið í skil, með greiðslu eða annarri aðferð, megi fjárhagsupplýsingastofa gera athugun hjá viðkomandi ábyrgðaraðila á réttmæti fullyrðingar hins skráða.

Vísar Creditinfo til þess að fyrirtækið starfi samkvæmt skráðum verkferlum sem tryggi að farið sé að ákvæðum starfsleyfis fyrirtækisins, lögum um persónuvernd og vinnslu persónuupplýsinga nr. 90/2018, sem og öðrum lögum og reglum sem um starfsemina gildi. Jafnframt vinni fyrirtækið eftir skilgreindum þjónustuferlum þar sem meðal annars sé lögð mikil áhersla á að tryggja persónuvernd og öryggi þeirra upplýsinga sem það vinni með. Til að tryggja framangreint hafi einstaklingar aðgang að þjónustuvefnum mitt.creditinfo.is sem sé vettvangur einstaklinga til að sækja yfirlit og upplýsingar um sína stöðu og tengdra fyrirtækja. Þjónustuvefurinn sé aðgangsstýrður en hægt sé að fara inn á vefinn með rafrænum skilríkjum eða aðgangsorðum sem send séu í heimabanka viðkomandi einstaklings. Þjónustuvefurinn hafi einnig þann tilgang að vera einföld og örugg leið til að koma á framfæri athugasemdum og fyrirspurnum til Creditinfo. Sé þess óskað í símtali eða með tölvupósti á netfangið creditinfo@creditinfo.is séu allar sömu upplýsingar og yfirlit send í bréfpósti á skráð lögheimili samkvæmt Þjóðskrá. Almennar upplýsingar og þjónusta sé síðan veitt í þjónustuveri alla virka daga á milli kl. 13-15. Engar persónuverndaðar upplýsingar séu veittar í samtölum við starfsmenn í þjónustuveri enda sé ekki hægt að tryggja að upplýsingar séu með þeim hætti veittar til þess aðila sem þær varða.

Creditinfo bendir á að bréfið, sem kvartandi hafi ætlað að afhenda fyrirtækinu og hafi síðar verið sent af lögmanni kvartanda til fyrirtækisins með tölvupósti, ásamt yfirlýsingu frá kröfuhafa, er dagsett 18. nóvember 2019. Því megi ætla að umrædd heimsókn kvartanda á starfsstöð fyrirtækisins hafi átt sér stað í fyrsta lagi þann dag. Engar beiðnir frá kvartanda eða samskipti við hana hafi átt sér stað fyrir þann tíma. Framangreind gögn sem kvartandi hafi ætlað að afhenda hafi verið óþörf við afgreiðslu málsins og hafi innihaldið upplýsingar sem ekki hafi komið málinu við og verði að teljast vera viðkvæmar persónuupplýsingar. Þá hafi yfirlýsing frá kröfuhafa verið undirrituð en óvottuð. Creditinfo leggi á það áherslu að vinna ekki með eða vista upplýsingar umfram það sem nauðsynlegt sé miðað við vinnslu mála í samræmi við meginreglu 3. tölul. 8. gr. laga nr. 90/2018.

Það verklag sé viðhaft, þegar hinn skráði upplýsi Creditinfo um að krafa sem skráð sé á vanskilaskrá hafi verið greidd, að haft sé samband við umboðsmann kröfuhafa og óskað staðfestingar á uppgreiðslu kröfu og hafi það verið gert í þessu máli. Telur Creditinfo það verklag vera í fullu samræmi við grein 2.5. í starfsleyfi fyrirtækisins.

Hinn 19. nóvember 2019 hafi Creditinfo sent tölvupóst til umboðsmanns kröfuhafa þar sem fram hafi komið að fyrirtækinu hafi borist beiðni um afskráningu upplýsinga af vanskilaskrá um áritaða stefnu. Óskað hafi verið eftir því við umboðsmann kröfuhafa að hann staðfesti að kröfuhafi hafi fallið frá fjárkröfu á hendur kvartanda. Staðfesting hafi borist frá umboðsmanni kröfuhafa sama dag og þá hafi málið verið afskráð af vanskilaskrá.

Creditinfo vísar til samskipta við umboðsmann kröfuhafa sem fylgdu með svarbréfi fyrirtækisins til Persónuverndar. Samkvæmt þeim hafi engar viðkvæmar persónuupplýsingar verið sendar til umboðsmanns kröfuhafa líkt og staðhæft sé í kvörtuninni.

Creditinfo hafnar því að starfsmenn fyrirtækisins hafi miðlað upplýsingum um kvartanda til umboðsmanns kröfuhafa sem hafi verið afgreiðslu málsins óviðkomandi, þ. á m. upplýsingum sem kvartandi hafi sent Creditinfo með beiðni um afskráningu málsins.

Creditinfo leitist við að svara öllum fyrirspurnum skráðra einstaklinga og afgreiða mál þeirra eins fljótt og kostur sé með persónuvernd og öryggi við meðferð upplýsinga að leiðarljósi. Umrædd skráning kvartanda á vanskilaskrá hafi verið afskráð 19. nóvember 2019, í síðasta lagi degi eftir heimsókn hennar á starfsstöð Creditinfo. Creditinfo hafi jafnframt eytt þá þegar upplýsingum sem kvartandi hafi sent fyrirtækinu með tölvupósti og voru málinu óviðkomandi.

Með vísan til framanritaðs telji Creditinfo að fyrirtækið hafi farið að ákvæðum starfsleyfis, ákvæðum laga nr. 90/2018 og öðrum þeim reglum sem um starfsemina gilda við afskráningu þess vanskilamáls sem um ræði í kvörtun. Auk þess telji fyrirtækið að það hafi án dráttar og svo fljótt sem verða mátti veitt kvartanda þjónustu í samræmi við skráða verkferla.

4.

Nánari athugun Persónuverndar og svör Creditinfo Lánstrausts hf.

Með vísan til þess hluta kvörtunarinnar sem laut að því að Creditinfo hefði neitað að taka við gögnum frá kvartanda á starfsstöð fyrirtækisins, óskaði Persónuvernd eftir upplýsingum um hvort skráðir einstaklingar ættu kost á að afhenda þar gögn.

Í svarbréfi Creditinfo vegna framangreinds segir að það verklag sé viðhaft, þegar hinn skráði upplýsi fyrirtækið um að krafa sem skráð sé á vanskilaskrá hafi verið greidd, að haft sé samband við kröfuhafa og óskað staðfestingar á uppgreiðslu kröfu. Það verklag hafi verið viðhaft í þessu máli og málið verið afgreitt án nokkurrar tafar. Eins og fram komi í grein 2.6. í starfsleyfi fyrirtækisins beri fjárhagsupplýsingastofu að greina hinum skráða frá því skriflega ef ekki er fallist á andmæli hans. Skrifleg svör séu send í gegnum aðgangsstýrða þjónustuvefinn mitt.creditinfo.is, hafi hinn skráði valið að eiga samskipti við fyrirtækið í gegnum þjónustuvefinn, eða á skráð lögheimili samkvæmt Þjóðskrá.

Creditinfo tiltekur að þau gögn sem kvartandi hafi viljað leggja fram hafi ekki verið fullnægjandi, þar sem um hafi verið að ræða yfirlýsingu frá kröfuhafa, sem hafi verið undirrituð en óvottuð. Gögnin hafi einnig innihaldið viðkvæmar upplýsingar sem hafi verið málinu óviðkomandi. Framlagning gagnanna hafi jafnframt verið óþörf til að Creditinfo gæti kannað það hjá umboðsmanni kröfuhafa hvort krafan væri að fullu greidd og afskrá skyldi hana af vanskilaskrá.

Creditinfo taki við upplýsingum í gegnum vefsvæðið mitt.creditinfo.is, af almennum netföngum, með móttöku almenns bréfpósts og bréfpósts sem sé sendur með rekjanlegum hætti, sem og á skrifstofu fyrirtækisins. Fyrirtækið leggi þó áherslu á að vinna ekki með gögn sem séu óþörf við tiltekna vinnslu.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Mál þetta lýtur að synjun Creditinfo á að taka við kröfu kvartanda og fylgigögnum á starfsstöð fyrirtækisins, afskráningu upplýsinga um áritaða stefnu á vanskilaskrá, svo meintri miðlun fyrirtækisins á viðkvæmum persónuupplýsingum um kvartanda til lögmanns kröfuhafa og stefnanda. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst Creditinfo vera ábyrgðaraðili að umræddri vinnslu.

2.

Starfsleyfi Creditinfo Lánstrausts hf.

Starfræksla fjárhagsupplýsingastofa og vinnsla upplýsinga sem varða fjárhagsmálefni og lánstraust einstaklinga og lögaðila, þ.m.t. vanskilaskráning og gerð lánshæfismats, í því skyni að miðla þeim til annarra, skal bundin leyfi Persónuverndar, sbr. 15. gr. laga nr. 90/2018. Starfsemi Creditinfo fellur að miklu leyti undir framangreint ákvæði og hefur Persónuvernd veitt fyrirtækinu starfsleyfi í samræmi við það, sbr. starfsleyfi Creditinfo vegna vinnslu upplýsinga um fjárhagsmálefni og lánstraust einstaklinga, dags. 29. desember 2017 (mál nr. 2017/1541 hjá Persónuvernd), sem var í gildi þegar atvik þessa máls áttu sér stað.

3.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Hefur Persónuvernd talið að vinnsla persónuupplýsinga sem fram fer í upplýsingakerfum Creditinfo um fjárhagsmálefni og lánstraust geti átt sér stoð í 6. tölul. 9. gr. laganna, sbr. e-lið 1. mgr. 6. gr. reglugerðarinnar, á þeim grundvelli að vinnslan sé nauðsynleg í þágu lögmætra hagsmuna nema hagsmunir og grundvallarréttindi og frelsi hins skráða, sem krefjast persónuverndar, vegi þyngra.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga ávallt að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðarinnar. Er þar meðal annars kveðið á um að persónuupplýsingar skuli vera áreiðanlegar og uppfærðar eftir þörfum og að persónuupplýsingum sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang þeirra, skuli eyða eða leiðrétta án tafar, sbr. 4. tölul. 1. mgr. 8. gr. laganna og d-lið 1. mgr. 5. gr. reglugerðarinnar.

Skráðum einstaklingum er jafnframt tryggður réttur til leiðréttingar og eyðingar persónuupplýsinga og takmörkunar vinnslu í 1. mgr. 20. gr. laga nr. 90/2018, sbr. 16.-19. gr. reglugerðarinnar. Í 17. gr. reglugerðarinnar er fjallað um réttinn til eyðingar. Segir í 1. mgr. ákvæðisins að skráður einstaklingur skuli eiga rétt á að ábyrgðaraðilinn eyði persónuupplýsingum er hann varða án ótilhlýðilegrar tafar og að ábyrgðaraðila sé það skylt, meðal annars ef hinn skráði andmælir vinnslunni skv. 1. mgr. 21. gr., sbr. c-lið 1. mgr. 17. gr. reglugerðarinnar. Í 1. mgr. 21. gr. reglugerðarinnar segir að skráður einstaklingur skuli eiga rétt á að andmæla hvenær sem er, vegna sérstakra aðstæðna sinna, vinnslu persónuupplýsinga er varði hann sjálfan og sem byggist á e- eða f-lið 1. mgr. 6. gr., þ.m.t. gerð persónusniðs á grundvelli þessara ákvæða. Segir svo að ábyrgðaraðili skuli ekki vinna persónuupplýsingarnar frekar nema hann geti sýnt fram á mikilvægar lögmætar ástæður fyrir vinnslunni sem gangi framar hagsmunum, réttindum og frelsi hins skráða eða því að stofna, hafa uppi eða verja réttarkröfur.

Þá er fjallað um eyðingu upplýsinga í grein 2.5. í starfsleyfi Creditinfo, sem í gildi var þegar atvik þessa máls áttu sér stað. Þar segir meðal annars að þegar hinn skráði dragi áreiðanleika upplýsinga í efa og greini t.d. frá því að skuld hafi verið komið í skil, með greiðslu eða annarri aðferð, geti fjárhagsupplýsingastofa hvorki gert þá kröfu til hans að hann beri erindið upp skriflega né sett sem skilyrði að hann leggi fram skrifleg gögn máli sínu til sönnunar. Hún megi þó gera athugun hjá viðkomandi ábyrgðaraðila á réttmæti fullyrðinga hins skráða (skuldarans).

Í kvörtun segir að kvartandi hafi mánuðum saman reynt að fá afskráðar af vanskilaskrá upplýsingar um áritaða stefnu, eftir að krafan, sem stefnan varðaði, var niður fallin. Henni hafi ávallt verið vísað út af starfsstöð fyrirtækisins án þess að fá svör um skráninguna. Þar sem ekki hafi verið rætt við hana af starfsmönnum fyrirtækisins hafi hún leitað til lögmanns og farið þaðan með bréf, með kröfu um afskráningu og athugasemdum, ásamt yfirlýsingu kröfuhafa um að skuldin væri fallin niður. Í svarbréfi Creditinfo segir að bréfið, sem kvartandi hafi ætlað að afhenda fyrirtækinu, hafi verið dagsett 18. nóvember 2019. Því hafi mátt ætla að umrædd heimsókn kvartanda á starfsstöð fyrirtækisins hafi átt sér stað í fyrsta lagi þann dag. Þá hafi engar beiðnir frá kvartanda eða samskipti við hana átt sér stað fyrir þann tíma.

Í málinu liggja ekki fyrir gögn sem skera úr um hvenær kvartandi mætti á starfsstöð Creditinfo og andmælti umræddri skráningu á vanskilaskrá fyrirtækisins. Ekki er á færi Persónuverndar, með þeim úrræðum sem henni eru búin að lögum, að rannsaka það frekar hvenær kvartandi andmælti fyrst vinnslunni eða hversu oft. Með vísan til þessa hefur Persónuvernd ekki forsendur til að taka afstöðu til þess hvort Creditinfo hafi í því tilliti farið að ákvæðum starfsleyfis fyrirtækisins og laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Í málinu liggur fyrir að Creditinfo barst krafa kvartanda og upplýsingar um að fallið hefði verið frá umræddri kröfu með tölvupósti 19. nóvember 2019. Ljóst er að Creditinfo tók ekki við gögnum frá kvartanda á starfsstöð fyrirtækisins en hóf sjálfstæða athugun á fullyrðingu hennar með tölvupósti, þann sama dag, til lögmanns kröfuhafa, þar sem óskað var upplýsinga um það hvort fallið hefði verið frá umræddri kröfu. Eftir að hafa fengið þá staðfestingu eyddi Creditinfo upplýsingunum. Kröfunni var eytt af vanskilaskrá Creditinfo samdægurs, 20. nóvember 2019.

Persónuvernd telur að framkvæmd Creditinfo, eins og hún liggur fyrir í þessu máli, hafi verið í samræmi við fyrrnefnd ákvæði laga nr. 90/2018 og reglugerðar (ESB) 2016/679 og grein 2.5. í starfsleyfi Creditinfo. Þá verður ekki séð, af þeim ákvæðum, að Creditinfo hafi verið skylt að taka við gögnum frá kvartanda á starfsstöð fyrirtækisins.

Persónuvernd áréttar þó mikilvægi þess að skráðir einstaklingar eigi þess kost að mæta á starfsstöð Creditinfo til að gera athugasemdir við skráningar eða aðra vinnslu persónuupplýsinga um sig hjá fyrirtækinu. Athugasemdir bornar fram með þeim hætti eiga að hafa sömu áhrif og þær sem berast fyrirtækinu í gegnum vefsvæðið mitt.creditinfo.is eða með tölvupósti, þ.e. leiða til athugunar hjá Creditinfo á réttmæti þeirra.

Varðandi þann hluta kvörtunarinnar, sem lýtur að því að Creditinfo hafi miðlað viðkvæmum persónuupplýsingum um kvartanda til lögmanns kröfuhafa, er til þess að líta að í fylgigögnum með svarbréfi Creditinfo til Persónuverndar er að finna tölvupóstsamskipti fyrirtækisins og lögmanns kröfuhafa. Í tölvupósti Creditinfo til lögmanns kröfuhafa er óskað viðbragða vegna fullyrðingar kvartanda, sem og upplýsinga um nafn hennar, kennitölu og þá kröfu sem um ræddi. Ljóst er að viðkvæmum persónuupplýsingum, eins og þær eru skilgreindar í 3. tölul. 3. gr. laga nr. 90/2018, var ekki miðlað í þeim pósti. Í máli þessu hefur ekkert annað komið fram sem bendir til þess að Creditinfo hafi miðlað viðkvæmum persónuupplýsingum um kvartanda til lögmanns kröfuhafa, líkt og kvartanda grunar. Verður því að leggja til grundvallar að ekki hafi komið til miðlunar slíkra upplýsinga og að ekki reyni því á hvort brot hafi átt sér stað að því leyti.

Að öllu framangreindu virtu er það niðurstaða Persónuverndar að vinnsla Creditinfo á persónuupplýsingum um kvartanda hafi samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, reglugerð (ESB) 2016/679 og starfsleyfi fyrirtækisins sem var í gildi þegar atvik málsins áttu sér stað.

Ú r s k u r ð a r o r ð:

Vinnsla Creditinfo Lánstrausts hf. á persónuupplýsingum um [A] vegna beiðni hennar um eyðingu upplýsinga um hana af vanskilaskrá fyrirtækisins samrýmdist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Í Persónuvernd, 17. nóvember 2020

Þórður Sveinsson                         Helga Sigríður Þórhallsdóttir