Efni: Vegna endurupptökubeiðni Sjóvá-Almennar tryggingar hf. í máli nr. 2024020416

1. Beiðni um endurupptöku

Persónuvernd vísar til bréfs þíns, f.h. Sjóvá-Almennra tryggingar hf. og Sjóvá-Almennra líftrygginga hf. (Sjóvá), dags. 15. nóvember 2024, sem og bréfs frá 9. október s.á. Með erindunum er þess farið á leit við Persónuvernd að mál nr. 2024020416, sem beindist að Sjóvá, verði endurupptekið og að ákvörðun stofnunarinnar í málinu, frá 23. september 2024, verði afturkölluð. Þar segir einnig að málið hafi ekki verið nægjanlega rannsakað á vettvangi stjórnvaldsins, sbr. 10. gr. sömu laga, og jafnframt að rangur skilningur hafi verið lagður í inntak þeirra upplýsinga sem lágu til grundvallar umþrættri ákvörðun.

Í endurupptökubeiðninni er vísað til þess að 0,33% umsókna fari í gegnum svokallaða sjálfvirka afgreiðslu en ekki sé um að ræða sjálfvirka ákvarðanatöku um hvort trygging verði gefin út og á hvaða verði. Því er lýst að umsækjendur veiti samþykki í upphafi umsóknar og að sjálfvirka afgreiðslan leiði ekki til neikvæðra afleiðinga heldur sé hún til hægðarauka. Hátti svo til að umsækjandi svari neitandi við áhættuaukandi atriði umsóknarinnar fari hún í sjálfvirka útgáfu. Beiðni umsækjanda sé þannig að öllu leyti samþykkt án þess að til frekari upplýsingaöflunar þurfi að koma og því leiðir slíkt ferli ekki til nokkurrar áhættu fyrir viðkomandi í skilningi 22. gr. laga nr. 90/2018.

2. Skilyrði endurupptöku á grundvelli 24. gr. stjórnsýslulaga

Framangreind beiðni Sjóvá er reist á 1. mgr. 24. gr. stjórnsýslulaga nr. 37/1993. Samkvæmt ákvæðinu á aðili máls rétt á að fá mál tekið til meðferðar á ný, eftir að stjórnvald hefur tekið ákvörðun og hún hefur verið tilkynnt, ef ákvörðunin byggðist á ófullnægjandi eða röngum upplýsingum um málsatvik.

Samkvæmt frumvarpi því er varð að lögum nr. 37/1993 er áskilið í tilfelli 1. tölul. að um sé að ræða upplýsingar sem byggt var á við ákvörðun málsins en ekki rangar eða ófullnægjandi upplýsingar um atvik sem mjög litla þýðingu höfðu við úrlausn þess.

3. Forsendur og niðurstaða

Mál nr. 2024020416 afmarkaðist við vinnslu persónuupplýsinga í upplýsingakerfum Sjóvá, í tengslum við sjálfvirka ákvarðanatöku um umsóknir og óskir einstaklinga um tilboð í tryggingar.

Samkvæmt ákvæði 22. gr. laga nr. 90/2018, sbr. jafnframt 1. mgr. 22. gr. reglugerðar (ESB) 2016/679, skal skráður einstaklingur eiga rétt á því að ekki sé tekin ákvörðun eingöngu á grundvelli sjálfvirkrar gagnavinnslu, þ.m.t. gerðar persónusniðs, sem hefur réttaráhrif að því er hann sjálfan varðar eða snertir hann á sambærilegan hátt að verulegu leyti samkvæmt nánari fyrirmælum 22. gr. reglugerðar (ESB) 2016/679, með þeim undantekningum sem þar getur.

Við meðferð máls nr. 2024020416 bárust alls þrjú svör frá félaginu, ásamt fylgigögnum, dagana 20. mars, 29. maí og 21. júní 2024. Í fyrstnefnda svari félagsins kom fram að Sjóvá noti sjálfvirka ákvarðanatöku við sölu og útgáfu líf- og sjúkdómatrygginga þar sem öllum spurningum í áhættumati er svarað þannig að ekki er þörf á frekari aðkomu starfsfólks við áhættumat og umsókn getur verið afgreidd með sjálfvirkum hætti. Svari umsækjandi spurningum um heilsufar með ákveðnum hætti fer umsóknin í ítarlegra áhættumat hjá starfsfólki.

Í svarbréfi félagsins, dags. 29. maí 2024, var vísað til afgreiðslu umsókna með sjálfvirkum hætti og að „hreinar umsóknir“ fari beint í útgáfu. Þar kom einnig fram að fræðsla um hugsanlega sjálfvirka útgáfu skírteina væri veitt í persónuverndarstefnu félagsins. Í henni, hvort sem litið er til stefnunnar eins og hún birtist á vefsíðu félagsins í dag eða 29. maí 2024, er vísað til þess að Sjóvá nýti sjálfvirka ákvarðanatöku við ákveðnar aðstæður.

Persónuvernd byggði niðurstöðu sína í umræddu máli meðal annars á framangreindum upplýsingum, sem stöfuðu frá Sjóvá, en þar var meðal annars vísað til þess að fram færi sjálfvirk ákvarðanataka af hálfu félagsins. Persónuvernd hefur nú tekið gögn málsins til heildstæðrar endurskoðunar í ljósi frekari skýringa og upplýsinga frá Sjóvá, sem fram hafa komið í tengslum við endurupptökubeiðni félagsins. Að mati stofnunarinnar má líta svo á að umrædd vinnsla hafi ekki falið í sér sjálfvirka ákvörðunartöku sem féll undir 22. gr. laga nr. 90/2018 og reglugerðar (ESB) 2016/679, sbr. jafnframt 71. lið formálsorða reglugerðarinnar. Féll slík vinnsla persónuupplýsinga því utan afmörkunar málsins.

Að öllu framangreindu virtu er fallist á að endurupptaka mál nr. 2024020416 með vísan til 1. tölul. 1. mgr. 24. gr. laga nr. 37/1993 og er ákvörðun frá 23. september 2024 Persónuverndar í málinu afturkölluð af því tilefni. Með vísan til sömu röksemda er umrætt mál fellt niður, sbr. 1. mgr. 32. gr. reglna nr. 1150/2023 um málsmeðferð Persónuverndar og því lokað í málaskrá stofnunarinnar.

Persónuvernd, 27. maí 2025

Ólafur Garðarsson

formaður

Árnína Steinunn Kristjánsdóttir

Vilhelmína Haraldsdóttir

Þorvarður Kári Ólafsson