Persónuvernd barst dags. 19. janúar s.l., kvörtun yðar vegna miðlunar upplýsinga um fjárhagsmálefni fyrirtækisins A til viðskiptavina þess. Í erindinu og meðfylgjandi skjölum kemur fram að B hafi þann 20. desember s.l. sent samkeppnisaðila A, C, yfirlit frá Lánstrausti um fjárhagsmálefni fyrirtækisins. C hafi síðan þann 13. janúar s.l. sent yfirlitið til viðskiptavinar A, D. Í erindinu er spurt:

,,...hvort ekki sé hér um [að ræða] misnotkunn [svo] á viðkvæmum upplýsingum frá Lánstrausti og í öðru lagi hvort Lánstrausti hf. sé heimilt að setja inn á vanskilaskrá áritaðar stefnur sem ekki eru til likta [svo] leiddar og er í þessu tilfelli hafa [svo] verið mótmælt við kröfuhafa en ekki verið dómteknar og því ekki enn ljóst hvort um sé að ræða vanskil eða ekki."

Í kvörtuninni kemur einnig fram að um sé að ræða gamlar upplýsingar sem ekki eigi lengur við rök að styðjast.

I.Almennt um vinnslu upplýsinga um fjárhagsmálefni og lánstraust lögaðila

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 3. gr. laganna. Með hugtakinu ,,persónuupplýsingar" er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Vinnsla upplýsinga um fyrirtæki og aðra lögaðila fellur því að meginstefnu utan gildissviðs laganna, en frá því er þó gerð undantekning í 2. mgr. 45. gr. laganna. Þar er kveðið á um að í reglugerð skuli mælt fyrir um heimild til söfnunar og skráningar upplýsinga sem varða fjárhagsmálefni og lánstraust fyrirtækja, svo og annarra lögaðila.

Samkvæmt 1. mgr. 2. gr. reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, sbr. 2. mgr. 45. gr. laga nr. 77/2000, er söfnun og skráning upplýsinga sem varða fjárhagsmálefni og lánstraust einstaklinga og lögaðila, í því skyni að miðla þeim til annarra, óheimil án starfsleyfis sem Persónuvernd veitir. Þeim einum má veita slíkt starfsleyfi sem að mati Persónuverndar er líklegur til að geta fullnægt skyldum ábyrgðaraðila samkvæmt lögum um persónuvernd og meðferð persónuupplýsinga, þ. á m. samkvæmt reglum sem Persónuvernd hefur sett um trúnað, áreiðanleika, öryggi og innra eftirlit við vinnslu persónuupplýsinga. Persónuvernd getur bundið slíkt starfsleyfi þeim skilmálum sem hún telur nauðsynlega hverju sinni, sbr. 2. mgr. 2. gr. reglugerðarinnar.

II.Heimildir Lánstrausts hf.

Persónuvernd hefur, með vísan til 2. gr. rgl. nr. 246/2001, veitt Lánstrausti hf. leyfi til söfnunar og miðlunar upplýsinga um fjárhagsmálefni og lánstraust lögaðila. Gildandi leyfi er frá 21. október 2004 og gildir til 26. október 2006.

Í þeim hluta erindis yðar sem snýr að Lánstrausti hf. er í fyrsta lagi vísað til þess að um hafi verið að ræða gamlar upplýsingar sem ekki eigi lengur við rök að styðjast og í öðru lagi til þess að í vanskilaskrá hafi verið færðar upplýsingar um áritaða stefnu sem ekki hafi verið dómtekin. Af því tilefni skal eftirfarandi tekið fram:

1. Rangar upplýsingarSamkvæmt 3. mgr. 5. gr. rgl. nr. 246/2001 skal eyða jafnharðan úr skrám fjárhagsupplýsingastofu upplýsingum sem eru eldri en fjögurra ára, nema annað sé sérstaklega heimilað í starfsleyfi frá Persónuvernd. Til samræmis við þetta er í 5. mgr. 4. gr. starfsleyfis fyrir Lánstraust kveðið á um að óheimilt sé að skrá og/eða miðla upplýsingum um fjárhagsmálefni sem eru eldri en fjögurra ára, en upplýsingar um töku bús til gjaldþrotaskipta má þó varðveita þar til birt hefur verið auglýsing um skiptalok.

Um þær upplýsingar sem þér teljið ,,gamlar" segir eftirfarandi í erindi yðar:

,,...eiga þessar upplýsingar ekki við rök að styðjast eins og sjá má á skjali (C) dagsett 14. janúar, [en] þar kemur fram að [A] hefur gert upp sín mál við Sýslumannin [svo] í Kópavogi."

Í gögnum málsins kemur fram að upplýsingar um árangurslaus fjárnám hjá Sýslumanninum í X eru frá 24. september 2003 og 25. október 2004. Þær eru því ekki orðnar fjögurra ára gamlar og falla ekki undir framangreinda reglu í rgl. nr. 246/2001 og starfsleyfi Lánstrausts hf. Hins vegar verður að skilja erindi yðar svo að um hafi verið að ræða rangar upplýsingar, sbr. ummælin hér að ofan.

Í 3. mgr. 6. gr. rgl. nr. 246/2001 segir:

,,Óheimilt er að miðla upplýsingum um nafn aðila ef fjárhagsupplýsingastofu er kunnugt um að sú krafa, er liggur skráningu til grundvallar, hafi verið greidd eða henni komið í skil með öðrum hætti. Á þetta við hvort heldur um er að ræða almennt aðgengilegar upplýsingar eða ekki. Sýni skráður aðili fjárhagsupplýsingastofu fram á að umrædd krafa hafi verið að fullu greidd, eða henni komið í skil með öðrum hætti, ber fjárhagsupplýsingastofu að stöðva alla frekari miðlun umræddra upplýsinga. Þetta gildir þó ekki um skráðar upplýsingar um gjaldþrotaúrskurði og skiptalok."

Af framangreindu reglugerðarákvæði má ráða að sé fjárhagsupplýsingastofu kunnugt um að krafa hafi verið greidd eða komið í skil, sé henni óheimilt að miðla upplýsingum um nafn aðila. Í reglugerðinni er ekki að finna ákvæði er leggja fjárhagsupplýsingastofu þær skyldur á herðar að fylgjast með í hverju einstöku tilviki, hvenær kröfu er komið í skil o.þ.h., enda væri slíkt væntanlega erfitt í framkvæmd. Það er því á hendi hins skráða að sýna fram á að ekki sé tilefni til vinnslu persónuupplýsinga um hann hjá fjárhagsupplýsingastofu og er honum tryggður andmælaréttur í 8. gr. reglugerðarinnar. Af gögnum málsins, þ.e. staðfestu endurriti Lánstrausts dags. 14. janúar s.l. á skjali merktu C, má sjá að þér hafið þegar nýtt yður þann andmælarétt og Lánstraust hf. brugðist við með því að má færslur um árangurslaus fjárnám hjá Sýslumanninum X af skránni.

2. Árituð stefnaUm áritaða stefnu í vanskilaskrá segir eftirfarandi í kvörtun yðar:

,,Eftir situr krafa [...] sem til er komin vegna kröfu sem [A] hefur ekki samþykkt og þegar mótmælt við kröfuhafa og er vilji okkar að það verði dómtekið til þess að úrskurða hvort hér sé um réttmæta kröfu að ræða á hendur okkur. Og teljum við að á meðan ekki hefur verið skorið úr um réttmæti kröfunnar þá eigi hún ekki erindi á vanskilaskrá, enda engin vanskil að ræða á meðan málið hefur ekki verið dómtekið."

Af gögnum málsins er ljóst að um er að ræða áritaða stefnu, dags. 6. september 2004, vegna kröfu C á hendur A. Með ,,árituðum stefnum" í vanskilaskrá er ekki átt við stefnur sem hafa verið áritaðar um viðtöku, heldur stefnur sem hafa verið áritaðar af dómara. Slíkt er gert þegar útivist hefur orðið að hálfu stefnda og hefur sama gildi og dómur, sbr. 113. gr. laga nr. 91/1991 um meðferð einkamála þar sem segir:

,,Nú hefur útivist orðið af hálfu stefnda án þess að greinargerð kæmi fram af hendi hans og kröfur stefnanda eru þess efnis að það sé unnt að fullnægja þeim með aðför. Ef dómari telur málatilbúnaði stefnanda í engu áfátt og að taka megi kröfur hans til greina má dómari ljúka máli með því að rita á stefnu að dómkröfurnar séu aðfararhæfar, svo og upphæð málskostnaðar eftir ákvörðun hans. Dómari getur um leið leiðrétt augljósar villur í stefnu til samræmis við þau skjöl sem stefnandi byggir á í málinu. Verði máli ekki lokið með þessum hætti skal kveðinn upp dómur eða úrskurður eftir almennum reglum.

Áritun dómara á stefnu skv. 1. mgr. hefur sama gildi og dómur. Henni verður ekki skotið til æðra dóms."

Árituð stefna er því bindandi um úrslit sakarefnis á milli málsaðila og hefur fullt sönnunargildi um þau málsatvik sem í stefnu greinir þar til hið gagnstæða er sannað, sbr. 1. og 4. mgr. 116. gr., sbr. 2. mgr. 113. gr. laga nr. 19/1991.

Í 2. gr. gildandi starfsleyfis Lánstrausts er kveðið á um þær upplýsingar sem Lánstrausti er heimilt að safna. Í 1. tölul. b-liðar 3. mgr. segir:

,,Upplýsingar dómstóla um skuldara skv. uppkveðnum dómum, eða skv. áritunum dómara á stefnur í málum þar sem ekki hefur verið mætt fyrir stefnda við þingfestingu máls eða þingsókn hefur síðar fallið niður af hans hálfu, sbr. 113. gr. laga nr. 91/1991. Slíkar upplýsingar má aðeins skrá ef um er að ræða skuld eða skuldir sama skuldara við tiltekinn kröfuhafa sem nema a.m.k. kr. 20.000,- að höfuðstól hver skuld."

Af framangreindu er ljóst að Lánstrausti hf. er heimilt að færa upplýsingar um áritaðar stefnur í vanskilaskrá.

III.

Í erindi yðar kemur fram að B hafi miðlað upplýsingum úr vanskilaskrá til C og að þér teljið að þar hafi verið brotið á rétti A.

Eins og fram hefur komið gilda lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga að meginstefnu til um vinnslu persónuupplýsinga, þ.e. upplýsinga um einstaklinga en ekki lögaðila. Undantekning 2. mgr. 45. gr. laganna tekur eingöngu til söfnunar og skráningar upplýsinga í því skyni að miðla þeim til annarra, þ.e. til starfsemi s.k. fjárhagsupplýsingastofa. Ekki verður talið að sú öflun upplýsinga úr vanskilaskrá sem hér átti sér stað falli þar undir. Lögmæti umræddrar miðlunar fellur því utan gildissviðs laga nr. 77/2000 og Persónuvernd leysir ekki úr ágreiningsmálum þar að lútandi, sbr. 37. gr. laganna.

Hins vegar ber að líta til þess að upplýsingunum var miðlað frá Lánstrausti hf., sem er fjárhagsupplýsingastofa í skilningi 2. mgr. 45. gr. laga nr. 77/2000 og rg. nr. 246/2001 og starfar samkvæmt leyfi frá Persónuvernd. Persónuvernd getur bundið slíkt starfsleyfi þeim skilmálum sem hún telur vera nauðsynlega hverju sinni, sbr. 2. mgr. 2. gr. rgl. nr. 246/2001. Samkvæmt 3. mgr. 4. gr. gildandi starfsleyfis fyrir Lánstraust skal það vera skilyrði aðgangs að skrá Lánstrausts skv. leyfinu að sá sem aðgang fær skuldbindi sig til að afrita ekki skrána, samtengja hana við aðra skrá eða vinna með hana á nokkurn annan hátt, þó að viðkomandi kunni að fá tækifæri til slíks. Í hugtakið ,,vinnsla" er lagður sá skilningur að átt sé við sérhverja aðgerð eða röð aðgerða, þar sem unnið er með upplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, þ. á m. miðlun og dreifingu.

Í ljósi þessa hafði Persónuvernd samband við Lánstraust hf., dags. 27. janúar s.l., og óskaði eftir því að kannað yrði hvort B hefðu gerst brotleg við áskriftarskilmála Lánstrausts. Lánstraust hafði samband við B vegna málsins og barst svarbréf í tölvupósti 28. janúar s.l. Svarbréfið var sent Persónuvernd sama í dag. Í því segir:

,,Það er skýlaus regla hjá [B] að upplýsingar úr [vanskilaskrá Lánstrausts] fari ekki héðan út nema í þeim tilvikum þegar leggja þarf slík gögn fyrir héraðsdóm s.s. hlutafélagaskrá. Starfsmenn [B] fara eftir þessum reglum en þetta tiltekna atvik sem um ræðir voru mistök. Brýnt hefur verið fyrir starfsfólki okkar að læra af mistökunum og láta slíkt ekki gerast aftur. Þess má einnig geta að um gamla útskrift var að ræða og því var ekki á henni að byggja"

Í tölvubréfi Lánstrausts hf. dags. 28. janúar s.l. segir að ekki sé ástæða til aðgerða í málinu gagnvart B. Persónuvernd gerir, í ljósi þess að um er að ræða upplýsingar sem sóttar eru í opinber gögn en koma ekki frá kröfuhöfum sjálfum, ekki athugasemdir við það.

IV.

Í ljósi þess sem áður segir um gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga verður ekki talið að úrlausn ágreinings um lögmæti umræddrar upplýsingamiðlunar C til D eigi undir Persónuvernd, sbr. 37. gr. laganna.

Í ljósi þess sem fram kemur í bréfi C til D má hins vegar ætla að þessi hluti málsins geti hugsanlega átt undir Samkeppnisstofnun, sem m.a. hefur eftirlit með óréttmætum viðskiptaháttum, sbr. samkeppnislög nr. 8/1993. Á grundvelli 2. mgr. 7. gr. stjórnsýslulaga nr. 37/1993 er mál þetta og öll gögn þess því áframsend Samkeppnisstofnun.