Úrskurður

um kvörtun yfir skráningu Keldunnar ehf. í gagnagrunn um einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla í máli nr. 2025010132 (áður 2023071190):

Málsmeðferð

1. Hinn 20. júlí 2023 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir því að Keldan ehf. (hér eftir Keldan) hefði safnað persónuupplýsingum um hana í þeim tilgangi að skrá hana í svokallaðan PEP-gagnagrunn um einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla.

2. Persónuvernd bauð Keldunni að tjá sig um kvörtunina með bréfi 16. nóvember 2023, og bárust svör 14. desember s.á. Kvartanda var veittur kostur á að koma á framfæri athugasemdum við svör Keldunnar með bréfi 15. október 2024. Með bréfi 4. nóvember s.á. var fyrrgreint bréf til kvartanda ítrekað og kvartandi jafnframt upplýstur um að ef ekki bærust frekari svör yrði málið tekið til úrlausnar á grundvelli fyrirliggjandi gagna. Engin frekari svör bárust.

3. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó svo að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Ágreiningsefni

4. Ágreiningur er um heimild Keldunnar til að safna persónuupplýsingum kvartanda og skrá þær í PEP-gagnagrunn um einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla, eins og þeir eru skilgreindir í lögum nr. 140/2018 um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka.

Sjónarmið aðila

Helstu sjónarmið kvartanda

5. Fyrir liggur að kvartandi var skráð í PEP-gagnagrunn Keldunnar um einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla þar sem hún var talinn náinn samstarfsmaður háttsetts einstaklings í opinberri þjónustu, þ.e. varamanns í stjórn [X] ohf. Nánar tiltekið voru tengslin talin felast í setu kvartanda í stjórn [samtaka] með viðkomandi einstaklingi. Kvartandi telur umrædda stjórnarsetu ekki hafa veitt Keldunni heimild fyrir söfnun og skráningu upplýsinga um hana í gagnagrunninn og fer fram á að vera fjarlægð úr gagnagrunninum.

Helstu sjónarmið Keldunnar

6. Keldan byggir á því að sú vinnsla persónuupplýsinga sem um ræðir hafi verið nauðsynleg til að fullnægja lagaskyldu sem hvíli á ábyrgðaraðila, sbr. 3. tölul. 9. gr. laga nr. 90/2018 og c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Vísað er til þess að aðeins þeir aðilar sem eru tilkynningarskyldir samkvæmt lögum nr. 140/2018 um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka geti fengið áskrift að PEP-gagnagrunninum. Samkvæmt 17. gr. laganna hvíli sú skylda á tilkynningarskyldum aðilum að hafa viðeigandi kerfi, ferla og aðferðir til að meta hvort innlendir eða erlendir viðskiptamenn eða raunverulegir eigendur séu í áhættuhópi vegna stjórnmálalegra tengsla. Vísar Keldan einnig til þess að þeir tilkynningarskyldu aðilar sem gerist áskrifendur að umræddum gagnagrunni skoðist sem sameiginlegir ábyrgðaraðilar að vinnslu persónuupplýsinga með félaginu, sbr. 23. gr. laga nr. 90/2018 og 26. gr. reglugerðar (ESB) 2016/679.

7. Í svörum Keldunnar er einnig byggt á því að vinnslan hafi verið nauðsynleg vegna lögmætra hagsmuna félagsins, sbr. 6. tölul. 9. gr. laga nr. 90/2018 og f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Keldan hafi lögmæta hagsmuni af veitingu þjónustunnar og vinnslan sé nauðsynleg í því skyni. Við mat á því hvort umrædd heimild geti átt við þurfi að vega hagsmuni félagsins af vinnslunni andspænis hagsmunum kvartanda af því að vinnslan fari ekki fram. Telur Keldan að grundvallarréttindi og frelsi hins skráða vegi ekki þyngra en hinir lögmætu hagsmunir sem Keldan hafi af vinnslunni við PEP-gagnagrunninn. Sem fyrr segir sé tilkynningarskyldum aðilum skylt að líta til upplýsinganna í starfsemi sinni og þeir einstaklingar sem hafi stjórnmálaleg tengsl geti búist við því að unnið sé með slíkar upplýsingar á grundvelli laganna.

8. Þá vísar Keldan til 6. tölul. 3. gr. laga nr. 140/2018 um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka, þess efnis meðal annars að í áhættuhópi vegna stjórnmálalegra tengsla séu einstaklingar, sem eru eða hafa verið háttsettir í opinberri þjónustu, ásamt nánustu fjölskyldu þeirra og nánum samstarfsmönnum. Til háttsettra einstaklinga í opinberri þjónustu teljist fulltrúar í stjórn, framkvæmdastjórn eða eftirlitsstjórn fyrirtækja í eigu ríkis, sbr. g-lið 1. málsl. 6. tölul. lagaákvæðisins. Til náinna samstarfsmanna teljist einstaklingar sem vitað er að hafi verið raunverulegir eigendur lögaðila með einstaklingi sem er eða hefur verið háttsettur og gegnt opinberri þjónustu eða aðrir þekktir samstarfsmenn, sbr. a-lið 4. málsl. 6. tölul. lagaákvæðisins. Því til skýringar vísar Keldan til þess að samkvæmt 2. tölul. a-liðar 13. tölul. 3. gr. laga nr. 140/2018 er ekki gerður greinarmunur á því hvort aðili sé sameiginlega raunverulegur eigandi með einstaklingi, sem telst vera háttsettur í opinberri þjónustu, í gegnum sameiginlegt eignarhald eða í gegnum sameiginlega stjórnarsetu. Þá geri lög nr. 140/2018 engan greinarmun á því hvort félag sé rekið í hagnaðarskyni eða ekki. Kvartandi hafi, á þeim tíma sem hann var skráður í PEP-gagnagrunninn, verið skráður raunverulegur eigandi lögaðila, þ.e. [samtaka], ásamt einstaklingi sem telst í áhættuhópi vegna stjórnmálalegra tengsla. Með vísan til framangreinds er það mat Keldunnar að kvartandi hafi talist vera í áhættuhópi vegna stjórnmálalegra tengsla og því hafi verið heimilt að skrá hann í PEP-gagnagrunninn.

9. Jafnframt vísar Keldan til þess að upplýsingar í PEP-gagnagrunninum stafi einkum frá opinberum aðilum, auk þess sem einstaklingum sé veitt færi á að gera athugasemdir við skráninguna í því skyni að leiðrétta hana. Með þessu sé áreiðanleiki persónuupplýsinga í gagnagrunninum tryggður.

Forsendur og niðurstaða

Lagaumhverfi

10. Mál þetta lýtur að söfnun og skráningu upplýsinga um kvartanda í svokallaðan PEP-gagnagrunn um einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla. Varðar það því vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og þar með valdsvið Persónuverndar, sbr. 1. mgr. 4. gr., 2. mgr. 1. gr. og 1. mgr. 39. gr. laganna.

11. Ábyrgðaraðili vinnslu er sá einstaklingur, lögaðili, stjórnvald eða annar aðili sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. reglugerðar (ESB) 2016/679.

12. Vinnsla persónuupplýsinga er aðeins heimil ef hún heyrir undir eitthvert heimildarákvæða 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Keldan hefur byggt á því að sú vinnsla persónuupplýsinga sem hér er til umfjöllunar sé heimil á grundvelli 3. tölul. 9. gr. laganna og c-liðar 1. mgr. 6. gr. reglugerðarinnar, þ.e. að hún sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Með úrskurði Persónuverndar frá 23. september 2024 í máli nr. 2023040746 var því hafnað að söfnun upplýsinga og skráning þeirra í PEP-gagnagrunninn af hálfu félagsins gæti stuðst við umrædda vinnsluheimild, sbr. umfjöllun í 19. efnisgrein úrskurðarins. Með vísan til þess sem þar er rakið kemur ekki til álita að sú vinnsla persónuupplýsinga sem hér er til umfjöllunar geti stuðst við umrædda heimild. Er þetta jafnframt í samræmi við aðra úrskurði stofnunarinnar um hliðstætt efni sem kveðnir hafa verið upp í kjölfar hins tilvísaða úrskurðar.

13. Hins vegar segir í 6. tölul. 9. gr. laganna, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar, að vinnsla persónuupplýsinga sé heimil ef hún er nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, einkum þegar hinn skráði er barn.

14. Þremur skilyrðum að vera fullnægt svo að vinnsla persónuupplýsinga geti talist heimil á grundvelli 6. tölul. 9. gr. laganna, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar. Í fyrsta lagi þarf vinnslan að fara fram í þágu lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir. Í öðru lagi þarf vinnslan að vera nauðsynleg í þágu hinna lögmætu hagsmuna. Í þriðja lagi mega hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga ekki vega þyngra en hinir lögmætu hagsmunir sem um ræðir. Með þriðja skilyrðinu er gerður áskilnaður um hagsmunamat, þar sem hinir lögmætu hagsmunir ábyrgðaraðila af vinnslunni eru vegnir andspænis hagsmunum hins skráða. Við matið getur meðal annars þurft að horfa til réttmætra væntinga hins skráða með hliðsjón af ákvæðum laga en í fyrirliggjandi máli reynir í því sambandi einkum á þau ákvæði peningaþvættislöggjafarinnar sem rakin eru í niðurstöðukafla hér á eftir. Um framkvæmd hagsmunamatsins að öðru leyti vísast til umfjöllunar þar að lútandi í efnisgrein 15 í fyrrgreindum úrskurði Persónuverndar í máli nr. 2023040746.

15. Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar mæla meðal annars fyrir um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins, og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins.

Niðurstaða

16. Samkvæmt fyrirliggjandi gögnum ákvað Keldan tilgang og aðferðir við þá vinnslu persónuupplýsinga sem hér er til umfjöllunar, þ.e. söfnun og skráningu upplýsinga um kvartanda í PEP-gagnagrunn félagsins. Eins og hér háttar til telst Keldan því vera sjálfstæður ábyrgðaraðili vinnslunnar, sbr. 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. reglugerðar (ESB) 2016/679. Ekki er tekin afstaða til þess hvernig ábyrgð er háttað á öðrum vinnsluaðgerðum sem tengjast gagnagrunninum, svo sem notkun upplýsinganna af hálfu áskrifenda, í ljósi þess að sú kvörtun sem hér er til umfjöllunar tók ekki til þeirra.

17. Keldan hefur meðal annars byggt á því að umrædd vinnsla persónuupplýsinga hafi verið heimil á þeim grundvelli að hún hafi verið nauðsynleg vegna lögmætra hagsmuna félagsins, sem vegi þyngra en hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga, samkvæmt 6. tölul. 9. gr. laga nr. 90/2018 og f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Til þess þarf þremur skilyrðum að vera fullnægt, sbr. umfjöllun í efnisgrein 14 hér að framan. Í fyrrgreindum úrskurði í máli nr. 2023040746 komst Persónuvernd að þeirri niðurstöðu að fullnægt hefði verið fyrsta skilyrði ákvæðisins að því er varðar söfnun og skráningu persónuupplýsinga í PEP-gagnagrunninn af hálfu Keldunnar. Var niðurstaða Persónuverndar sú að um viðskiptahagsmuni væri að ræða sem ekki yrði séð að væru andstæðir lögum, sbr. nánari umfjöllun í efnisgrein 20 í þeim úrskurði. Hefur sú afstaða verið staðfest í síðari úrskurðum stofnunarinnar um hliðstætt efni. Persónuvernd telur sömu sjónarmið eiga við í fyrirliggjandi máli og verður samkvæmt því lagt til grundvallar að Keldan hafi lögmæta hagsmuni af þeirri vinnslu persónuupplýsinga sem hér er til umfjöllunar, með fyrirvara um þau frekari skilyrði sem þessir hagsmunir þurfa að fullnægja.

18. Hvað varðar mat á því hvort annað og þriðja skilyrði ákvæðisins teljist uppfyllt, þ.e. hvort vinnslan sé nauðsynleg vegna hagsmuna Keldunnar og hvort þeir hagsmunir gangi framar hagsmunum eða grundvallarréttindum og frelsi kvartanda, hefur Persónuvernd þegar tekið til úrlausnar sambærileg álitaefni og hér reynir á. Með úrskurði Persónuverndar frá 12. desember 2025 í máli nr. 2025020672 var komist að þeirri niðurstöðu að Keldunni hefði verið heimilt að skrá kvartanda, sem gegndi stöðu varamanns í stjórn opinbers hlutafélags, í PEP-gagnagrunninn á grundvelli vinnsluheimildar 6. tölul. 9. gr. laga nr. 90/2018 og f-liðar 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Taldi Persónuvernd að líta yrði til þess að eðli stöðu varamanns er að taka þátt í störfum stjórnar við skemmri eða lengri forföll aðalmanns. Slíkt geti átt sér skamman fyrirvara og ófyrirsjáanlegt er hvort eða hvenær varamaður þurfi að taka sæti aðalmanns. Staða varamanna í stjórnum sé þannig nátengd stöðu aðalmanna, sem óumdeilt er að ber fortakslaust að flokka sem einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla, sbr. g-lið 6. tölul. 3. gr. laga nr. 140/2018.

19. Með úrskurði Persónuverndar frá 11. desember 2025 í máli nr. 2025010130 komst stofnunin jafnframt að þeirri niðurstöðu að Keldan hefði lögmæta hagsmuni af því að skrá kvartanda í PEP-gagnagrunninn á þeim forsendum að hann sat í stjórn foreldrafélags með stjórnarmanni félags í eigu Ríkissjóðs Íslands. Taldi Persónuvernd að mat Keldunnar á stöðu kvartanda gagnvart stjórnarmanni félags í eigu Ríkissjóðs Íslands, vegna stjórnarsetu þeirra beggja í tilteknu foreldrafélagi, hefði getað rúmast innan þess ramma sem lög nr. 140/2018 marka, að teknu tilliti til orðalags 6. og 13. tölul. 3. gr. laganna.

20. Í forsendum framangreindra úrskurða var tekið fram að það fellur utan valdsviðs Persónuverndar að skera úr um hvort varamenn í stjórnum félaga falli undir ákvæði 6. tölul. 3. gr. laga nr. 140/2018, eða hvort tiltekin stjórnarseta, með einstaklingi sem er eða hefur verið háttsettur í opinberri þjónustu, leiði til þess að viðkomandi teljist nánir samstarfsmenn eða ekki, í skilningi 6. tölul. 3. gr. laga nr. 140/2018, að öðru leyti en því að stofnuninni ber að hafa hliðsjón af ramma laganna við mat á því hvort skilyrði vinnsluheimildar 6. tölul. 9. gr. laga nr. 90/2018 hafi verið uppfyllt. Verður enda ekki séð að dómstólar eða þar til bær stjórnvöld hafi leyst úr því á afdráttarlausan hátt hvort varamenn í stjórnum félaga teljist til háttsettra einstaklinga í opinberri þjónustu eða hvort stjórnarmenn almennra félaga, þ.m.t. félagasamtaka, teljist nánir samstarfsmenn í skilningi framangreindra ákvæða laga nr. 140/2018.

21. Í því máli sem hér um ræðir, þ.e. hvort Keldunni hafi verið heimilt að skrá kvartanda í PEP-gagnagrunninn á þeim forsendum að hún var talinn náinn samstarfsmaður háttsetts einstaklings í opinberri þjónustu, þ.e. einstaklings sem gegndi stöðu varamanns í stjórn [X] ohf., telur Persónuvernd sömu sjónarmið eiga við og í framangreindum málum. Verður þannig lagt til grundvallar að umrædd vinnsla persónuupplýsinga geti talist Keldunni nauðsynleg til að veita viðskiptamönnum sínum þjónustu í tengslum við framkvæmd laga nr. 140/2018 um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka. Nánar tiltekið má fallast á það sem forsendu fyrir tilætluðum notum gagnagrunnsins að hann tilgreini alla þá einstaklinga sem kunna að vera í áhættuhópi vegna stjórnmálalegra tengsla miðað við gildandi löggjöf og túlkun þar til bærra aðila á henni, óháð því hvort þeir séu það í raun samkvæmt endanlegu mati tilkynningaskyldra aðila. Samkvæmt því verður lagt til grundvallar að umrædd vinnsla sé nauðsynleg í þágu hinna lögmætu hagsmuna Keldunnar.

22. Við mat á lögmætum hagsmunum ábyrgðaraðila andspænis hagsmunum hins skráða, samkvæmt þriðja skilyrði beitingar vinnsluheimildarinnar, er til þess að líta að umrædd vinnsla persónuupplýsinga um kvartanda fer fram í þágu viðskiptahagsmuna Keldunnar sem njóta verndar samkvæmt atvinnufrelsisákvæði 75. gr. stjórnarskrár lýðveldisins Íslands nr. 33/1994. Vinnslunni er enn fremur ætlað að styðja við framkvæmd laga nr. 140/2018 og þar af leiðandi að verja ríka almannahagsmuni sem felast í því að hindra peningaþvætti og fjármögnun hryðjuverka, sbr. 1. gr. laganna. Þannig mega þeir einstaklingar sem falla undir skilgreiningu 6. tölul. 3. gr. laga nr. 140/2018. Þá er ekki gerður áskilnaður um það, við mat á lögmætum hagsmunum samkvæmt þriðja skilyrði beitingar vinnsluheimildarinnar, að vinnslan megi ekki leiða til neinna neikvæðra afleiðinga fyrir hinn skráða. Jafnframt hefur ekkert komið fram í málinu sem bendir til þess að Keldan vinni aðrar persónuupplýsingar um kvartanda en nauðsynlegt er miðað við tilgang vinnslunnar eða að félagið hafi miðlað upplýsingunum til annarra en á þeim þurfa að halda á grundvelli laga nr. 140/2018. Auk þess leitaðist Keldan við að tryggja áreiðanleika persónuupplýsinga kvartanda með því að afla þeirra að meginstefnu til frá opinberum aðilum og veita kvartanda færi á að tjá sig um efni þeirra áður en af skráningu í gagnagrunninn varð.

23. Við hagsmunamatið og áhrifa þeirrar vinnslu sem hér er til umfjöllunar á hinn skráða lítur Persónuvernd jafnframt til þess að endanlegt mat á því hvort kvartandi teljist í áhættuhópi vegna stjórnmálalegra tengsla er, líkt og að framan greinir, í höndum tilkynningarskyldra aðila sem falla undir ákvæði laga nr. 140/2018. Sú staðreynd, að kvartandi er skráður í umræddan gagnagrunn Keldunnar, ætti því ekki óhjákvæmilega að leiða til þess að hún verði skilgreind sem einstaklingur í áhættuhópi vegna stjórnmálalegra tengsla. Tilkynningarskyldum aðilum ber við túlkun laga nr. 140/2018 að beita áhættumiðaðri nálgun til að ákvarða hvort til staðar sé hætta á notkun sambands í þágu peningaþvættis eða fjármögnunar hryðjuverka. Í því felst að tilkynningarskyldum aðilum ber, við mat á því hvort kvartandi teljist náinn samstarfsmaður einstaklings í áhættuhópi, meðal annars að líta til þess hvort sá síðarnefndi geti notað tengslin til að þvætta peninga eða beina þeim í hryðjuverkstarfsemi og hvort til staðar sé raunveruleg hætta á notkun sambandsins í þeim tilgangi. Ætti kvartandi því ekki sjálfkrafa, og án þess að fleira komi til, að teljast náinn samstarfsmaður einstaklings í áhættuhópi vegna þess eins að sitja með honum í stjórn félagasamtaka. Skoða þarf atvik í viðkomandi tilviki í heild sinni, meðal annars þá tegund félags sem stjórnarsetan varðar. Voru framangreind sjónarmið meðal annars lögð til grundvallar í forúrskurði Evrópudómstólsins, dags. 19. júní 2025, í máli C-509/23, er varðaði túlkun á tilskipun (ESB) 2015/849 um ráðstafanir gegn því að fjármálakerfið sé notað til peningaþvættis eða til fjármögnunar hryðjuverka.

24. Að framangreindu gættu telur Persónuvernd verða að leggja til grundvallar að lögmætir hagsmunir Keldunnar af vinnslunni vegi þyngra en hagsmunir eða grundvallarréttindi og frelsi kvartanda sem krefjast verndar persónuupplýsinga.

25. Með vísan til alls þess sem að framan greinir er það niðurstaða Persónuverndar að Keldunni hafi verið heimilt á grundvelli 6. tölul. 9. gr. laga nr. 90/2018 og f-liðar 1. mgr. 6. gr. reglugerðar (ESB) 2016/679 að safna og skrá persónuupplýsingar kvartanda í PEP-gagnagrunn félagsins. Einnig er það niðurstaða Persónuverndar að vinnslan hafi verið í samræmi við meginreglur 1. og 3. tölul. 1. mgr. 8. gr. laganna og a- og c-liðar 1. mgr. 5. gr. reglugerðarinnar.

Ú r s k u r ð a r o r ð:

Söfnun og skráning Keldunnar ehf. á persónuupplýsingum um [A] í PEP- gagnagrunn félagsins samrýmdist ákvæðum laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og almennu persónuverndarreglugerðarinnar (ESB) 2016/679, um vinnsluheimildir og meginreglur.

Persónuvernd, 26. janúar 2026

Bjarni Freyr Rúnarsson Edda Þuríður Hauksdóttir