Persónuvernd vísar til erindis yðar, dags. 2. desember s.l., þar sem þér kvartið yfir því að hafa þurft að gefa upp kennitölu þegar þér skiluðuð bókum í verslun A í B og fenguð í staðinn inneignarnótu.

Í tilefni af kvörtun yðar var leitað eftir skýringum A með bréfi, dags. 13. desember s.l., og var sérstaklega vísað til 10. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þar er kveðið á um að notkun kennitölu sé heimil eigi hún sér málefnalegan tilgangi og sé nauðsynleg til að tryggja örugga persónugreiningu.

Í svarbréfi D hdl. f.h. A, dags. 20. desember s.l., var notkun kennitölu við útgáfu inneignarnótu studd þrenns konar rökum; að slík notkun sé eðlileg til að koma í veg fyrir að stolnum vörum sé skilað gegn útgáfu inneignarnótu, að slík notkun sé nauðsynleg til að koma í veg fyrir misnotkun af hálfu starfsmanna þegar vöru er skilað án kassakvittunar og að í inneignarnótu felist sérstök krafa á hendur verslun sem eðlilegt sé að sérgreina. Með bréfum, dags. 28. desember og 20. janúar s.l., var yður sent afrit af framangreindu svarbréfi og veitt færi á að gera athugasemdir við efni þess, en svör bárust ekki.

Með bréfi, dags. 9. febrúar s.l., óskaði Persónuvernd eftir nánari skýringum A með vísan til eftirfarandi:

,,Samkvæmt 10. gr. laga nr. 77/2000 er notkun kennitölu heimil eigi hún sér málefnalegan tilgang og sé nauðsynleg til að tryggja örugga persónugreiningu. Kröfunni um málefnalegan tilgang verður ekki fullnægt nema önnur auðkenni, svo sem nafn, heimilisfang eða viðskiptanúmer, séu ófullnægjandi. Við mat á málefnalegum tilgangi ber m.a. að líta til þess hvort örugg persónugreining sé mikilvæg fyrir hinn skráða, fyrir ábyrgðaraðila eða vegna almannahagsmuna.

[. . .]

1. Skil á stolnum vörumVerslanir [A] fara ekki fram á kassakvittun þegar vöru er skilað gegn inneignarnótu. Því teljið þér að þegar inneignarnóta er gefin út séu meiri líkur en ella á því að skilavaran sé illa fengin og að krafa um kennitölu viðskiptavinar við útgáfu inneignarnótu sé til þess fallin að draga úr og koma í veg fyrir slíka misnotkun. Í bréfi yðar segir m.a.: ,,Í þeim tilvikum þar sem viðskiptavinur er ekki með kassakvittun er óskað eftir kennitölu. Með þeim hætti er unnt að leita handvirkt í afritum og innleystum inneignarnótum ef grunur vaknar um misferli af hálfu viðskiptavinar eða starfsmanna."

Í 10. gr. laga nr. 77/2000 felst áskilnaður um örugga persónugreiningu sem er nauðsynleg til að lögmætir hagsmunir nái framgangi sínum. Það er því ljóst að ekki nægir að kennitala sé notuð í málefnalegum tilgangi, heldur verður notkunin að vera til þess fallin að ná þeim markmiðum sem stefnt er að. Þar sem ekki hefur, að mati Persónuverndar, verið sýnt fram á með hvaða hætti umrædd notkun kennitalna sé fallin til þess að koma í veg fyrir þjófnað eða annars konar fjármunabrot af hálfu viðskiptavina [A] er yður hér með gefinn kostur á að skýra það nánar.

2. Misnotkun af hálfu starfsmannaÍ bréfi yðar er vikið að því að þegar vöru er skilað gegn inneignarnótu, án þess að krafist sé kvittunar, opnist möguleiki á misnotkun af hálfu starfsmanna. Þannig er hægt að gefa út inneignarnótu án þess að nokkur vara standi á bak við hana. Það markmið að koma í veg fyrir slíka misnotkun er málefnalegt en vart verður talið að sýnt hafi verið fram á nauðsyn þess að nota kennitölur viðskiptavina til að ná þessu markmiði. Því er yður hér með gefinn kostur á að skýra það nánar.

3. Sérgreining kröfuÍ svarbréfi yðar kemur fram að inneignarnóta sé sérstök krafa viðskiptavinar gagnvart verslun og að ekki sé óeðlilegt að slík krafa sé sérgreind viðkomandi viðskiptavini. Samkvæmt 10. gr. laga nr. 77/2000 skal ekki nota kennitölu nema hún sé nauðsynleg til öruggrar persónugreiningar og önnur auðkenni, svo sem nafn, heimilisfang eða viðskiptanúmer, séu ófullnægjandi. Með vísun til þess er yður hér með gefinn kostur á að rökstyðja frekar með hvaða hætti slík sérgreining inneignarnótu, þ.e. með notkun kennitölu, sé nauðsynleg, hvort sem litið er til almannahagsmuna, hagsmuna viðskiptavinarins eða [A]."

Svarbréf dags. 14. mars s.l. hefur nú borist stofnuninni þar sem eftirfarandi kemur fram:

,,Umbjóðandi minn hefur ákveðið, að fara ekki fram á að viðskiptavinir, sem skila vörum í verslunum [A] og hafa ekki kassakvittun, gefi upp kennitölu sína. Þess í stað verður farið fram á að viðskiptavinir án kassakvittunar sem skila vöru gefi upp nafn og heimilisfang og framvísi persónuskilríkjum. Búast má við að einhvern tíma taki að innleiða nýjar [svo] framkvæmd en stefnt er að því að hún verði komin í gagnið hið fyrsta. "

Í ljósi þessa telur Persónuvernd ekki efni til að aðhafast frekar í málinu.