Máttu ekki láta netfang kvartanda fylgja athugasemdum hans

Persónuvernd hefur úrskurðað að fyrirtækið Creditinfo lánstraust, sem miðlar fjárhags- og viðskiptaupplýsingum á vefsíðu sinni, hafi brotið persónuverndarlög með því að senda netfang kvartanda til þriðju aðila, sem höfðu flett honum upp í skrá fyrirtækisins.

Kvörtunin barst Persónuvernd í janúar 2018. Þar segir að í nóvember árið áður hafi kvartandi farið inn á vefsvæði sitt hjá Creditinfo til að kanna hverjir hefðu flett upp kennitölu hans í skrám fyrirtækisins. Í kjölfarið gerði hann athugasemdir við alls fimm uppflettingar með þar til gerðum athugasemdahnappi.

Í kjölfarið bárust kvartanda svör frá þeim aðilum sem stóðu að uppflettingunum. Kvartanda hafi þá orðið ljóst að Creditinfo hefði miðlað netfangi hans til þessara aðila án samþykkis hans eða vitneskju. Á vefsíðunni hafi hvergi verið tekið fram að persónuupplýsingar á borð við netfang væru áframsendar með þessum hætti.

Í svari frá Creditinfo sem kvartandi fékk í desember 2017 segir að tilgangur þess að netfangið var framsent hafi eingöngu verið að hann fengi afrit af svari við fyrirspurn Creditinfo til þess sem stóð að uppflettingunni á sama tíma og svarið bærist fyrirtækinu.

Í kvörtuninni kemur jafnframt fram að kvartandi telji ómálefnalegt og með öllu óþarft að Creditinfo miðli upplýsingum um netfang þess sem sendir inn athugasemd vegna uppflettingar til þess sem að uppflettingunni stóð og athugasemdin beinist gegn. Sá aðili hafi ekkert með þær upplýsingar að gera og eigi ekki að geta sett sig í beint samband við einstaklinginn.

Persónuvernd taldi að ekki yrði ráðið að kvartanda hefði mátt vera kunnugt um að netfangi hans kynni að verða miðlað í kjölfar athugasemda hans. Nefndin komst loks að þeirri niðurstöðu að miðlun Creditinfo á netfangi kvartanda til þriðju aðila samrýmdist ekki lögum um persónuvernd og meðferð persónuupplýsinga.

Creditinfo hafi upplýst að í kjölfar athugasemda frá kvartanda hafi fyrirtækið ákveðið að breyta verklagi sínu á þann hátt að fyrirspurnir sem berist af vefsvæðinu Mitt Creditinfo séu framsendar án netfanga fyrirspyrjenda. Með hliðsjón af því þótti ekki tilefni til þess að Persónuvernd legði fyrir ábyrgðaraðila fyrirmæli um breytt verklag.