Persónuverndarstefna umboðsmanns skuldara

Hvaða persónuupplýsingar vinnur embættið með vegna umsókna um úrræði?

Þegar lögð er fram umsókn um úrræði greiðsluaðlögunar eða fjárhagsaðstoðar vegna skiptatryggingar ber umsækjanda á grundvelli laga að veita ákveðnar upplýsingar í umsókn, s.s. samskiptaupplýsingar, fjárhagsupplýsingar, upplýsingar um fjölskylduaðstæður og ástæður greiðsluerfiðleika. Áður en sótt er um framangreind úrræði, þurfa umsækjendur að leggja fram almenna umsókn, um aðstoð vegna fjárhagsvanda. Í þeirri umsókn er óskað eftir sams konar upplýsingum frá umsækjanda og að ofan greinir, í samræmi við lagakröfur úrræðanna enda teljast upplýsingarnar nauðsynlegar fyrir úrvinnslu umsóknar. Í kjölfar umsóknar um aðstoð vegna fjárhagsvanda, leitast embættið við að greina hvaða úrræði hentar, hvort sem það er almenn ráðgjöf, greiðsluaðlögun eða fjárhagsaðstoð til greiðslu skiptatryggingar vegna gjaldþrotaskipta.

Samkvæmt lögum skal embættið jafnframt óska eftir öllum nauðsynlegum upplýsingum frá skuldara, opinberum aðilum og einkaaðilum, svo sem um tekjur, gjöld, eignir, skuldir, ábyrgðir, framfærslu- og húsnæðiskostnað og framferði umsækjanda. Embættið útskýrir nánar hvaða upplýsinga er aflað í samræmi við framangreint í sérstökum fræðslutexta, sem umsækjendur lesa áður en þeir leggja fram umsókn.

Embættið getur þurft að afla upplýsinga sem teljast viðkvæmar, t.d. geta upplýsingar úr færsluyfirlitum bankareikninga talist viðkvæmar. Þá teljast heilsufarsupplýsingar viðkvæmar, en umsækjandi kann að vera beðinn um að afhenda embættinu læknisvottorð til staðfestingar á veikindum.

Embættið getur óskað eftir ákveðnum opinberum upplýsingum úr ársreikningaskrá og fyrirtækjaskrá ef um eignarhald í félagi er að ræða. Þá eru jafnframt upplýsingar sem skráðar eru þinglýsingabækur opinberar og getur embættið því nálgast upplýsingar um veðbönd eigna og þinglýst gögn hjá embætti sýslumanns.

Veiti umsækjandi ekki nauðsynlegar upplýsingar sem honum er einum unnt að afla eða gefa, getur það haft áhrif á málsmeðferð vegna hlutaðeigandi umsóknar, t.d. með synjun umsóknar eða niðurfellingu greiðsluaðlögunarumleitana.

Ef um sértæka þjónustu embættisins er að ræða, t.d. aðstoð vegna breytinga á samningi, getur embættið þurft að afla sams konar upplýsinga og gert er vegna umsóknar um úrræði.

Persónuupplýsingar um þá starfsmenn einkaaðila og opinberra aðila sem embættið er í samskiptum við, m.a. vegna vinnslu umsókna, eru eingöngu almennar en þær geta t.d. verið nöfn og aðrar samskiptaupplýsingar.

Tilgangur og lagagrundvöllur vinnslu persónuupplýsinga vegna umsókna

Umboðsmaður skuldara aflar framangreindra upplýsinga til þess að geta afgreitt umsókn um aðstoð vegna fjárhagsvanda, umsókn um greiðsluaðlögun eða fjárhagsaðstoð sem og vegna málsmeðferðar á síðari stigum sé leitað greiðsluaðlögunar. Þannig getur t.d. umsjónarmaður greiðsluaðlögunarmáls aflað allra nauðsynlegra upplýsinga sem hann þarf á að halda vegna vinnslu málsins.

Nánari umfjöllun um hvert úrræði má finna á vefsíðu embættisins.

Á embættinu hvílir lagaleg skylda til að afla upplýsinga, sbr. 3. gr. laga um umboðsmann skuldara nr. 100/2010, 5. gr. laga um greiðsluaðlögun einstaklinga nr. 101/2010 og 4. gr. laga um fjárhagsaðstoð til greiðslu tryggingar fyrir kostnaði vegna gjaldþrotaskipta nr. 9/2014. Í framangreindum lagabálkum er svo nánar kveðið á um málsmeðferð og vinnslu upplýsinga.

Á embættinu hvílir rannsóknarskylda en í því felst að umboðsmaður skuldara skal sjá til þess að mál sé nægjanlega upplýst áður en ákvörðun er tekin í því. Þegar sótt er um greiðsluaðlögun eða fjárhagsaðstoð, skal umboðsmaður skuldara ganga úr skugga um að í umsókn skuldara komi fram allar nauðsynlegar upplýsingar og getur hann, ef þörf krefur, krafist þess að skuldari staðfesti upplýsingarnar með skriflegum gögnum. Vakin skal þó athygli á því að þegar embættið veitir almenna ráðgjöf eru ekki teknar stjórnvaldsákvarðanir, heldur aflar ráðgjafi allra nauðsynlegra upplýsinga til þess að geta veitt ráðgjöf til úrlausnar á fjárhagsvanda.

Embættið leitast við að gæta að meginreglum um vinnslu persónuupplýsinga, m.a. að þær sé fengnar í skýrt tilgreindum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi. Þá leitast embættið við að gæta að því að persónuupplýsingar séu nægjanlegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar.

Embættið miðlar eingöngu upplýsingum til þriðja aðila á grundvelli lagaheimildar eða upplýsts samþykkis.

Þá byggist varðveisla persónuupplýsinga um starfsmenn einkaaðila og opinberra aðila, sem hafa verið í samskiptum við embættið vegna umsókna, á lagaskyldu.

Vinnsla persónuupplýsinga þegar vefsíðan er skoðuð, haft er samband við embættið eða farið er inn á Mínar síður

a) Vefsíðan

Ef einstaklingar heimsækja vefsíðu embættisins, láta þeir af hendi persónuupplýsingar með óbeinum hætti, þ.e. upplýsingar um IP tölu. IP- tölur eru ekki notaðar til að auðkenna viðkomandi notanda persónulega. Heimild til vinnslu á IP tölum byggist á lögmætum hagsmunum, sem felast í því að veita notendum vefsíðunnar betri þjónustu og til að tryggja net- og upplýsingaöryggi. Þá notar vefsíðan svokallaðar vefkökur til að tryggja sem bestu upplifun af síðunni fyrir notendur. Nánari upplýsingar má finna á vefsíðu embættisins.

b) Beiðnir um símtöl sendar í gegnum vefsíðu

Þegar einstaklingur óskar eftir símtali frá ráðgjafa, er hann beðinn um að greina frá nafni, símanúmeri og netfangi. Vakin skal athygli á því að upplýsingarnar vistast tímabundið á vefþjóni vinnsluaðila sem annast heimasíðu embættisins eða þar til þær eru sendar í pósthólf embættisins en þá er þeim eytt hjá vinnsluaðila. Embættið vistar hins vegar upplýsingarnar í málaskráarkerfi.

Embættið óskar eftir framangreindum persónuupplýsingum þar sem þær teljast nauðsynlegar til að veita þjónustu og byggist heimild embættisins til vinnslu upplýsinganna á lagaskyldu.

c) Símtöl

Símanúmer þeirra einstaklinga sem hringja til embættisins, og eru ekki í erindagjörðum tengt þjónustu embættisins, eru ekki skráð sjálfkrafa hjá embættinu. Hins vegar er skráð fjöldi símtala sem embættinu berst í hverjum mánuði þar sem óskað er ráðgjafar.

Þegar einstaklingur hefur samband við embættið og óskar eftir ráðgjöf, en er ekki með mál til meðferðar, er efni símtalsins skráð niður í sérstaka símtalaskrá. Nafn og símanúmer (eftir atvikum) er alltaf skráð ef viðkomandi gefur það upp ásamt efni erindisins. Tilgangur vinnslunnar er að halda utan um hvers eðlis sú ráðgjöf er, sem veitt er í gegnum síma.

Ef umsækjandi hefur samband símleiðis vegna máls sem er til meðferðar (eða var til meðferðar), er efni símtalsins skráð í sérstakt samskiptaskjal undir máli viðkomandi í málaskráarkerfi.

Það er skylda á embættinu samkvæmt upplýsingalögum að skrá upplýsingar um málsatvik sem veittar eru munnlega og að halda til haga mikilvægum upplýsingum, m.a. um samskipti við almenning.

Embættið tekur ekki upp símtöl.

d) Bréfpóstur og tölvupóstur

Öll bréf sem berast embættinu eru skönnuð og vistuð í málaskráarkerfi og varðveitt í skjalasafni embættisins. Allur tölvupóstur er jafnframt vistaður í málaskráarkerfi en embættinu er óheimilt að eyða gögnum sem berast stofnuninni. Sjá nánar undir liðnum ,,Varðveislutími“.

Vakin skal athygli á því að þegar haft er samband við embættið í gegnum tölvupóst, getur tölvupósturinn verið ódulkóðaður sem þýðir að mögulega getur óviðkomandi lesið tölvupóstinn í sendingu. Það er góð regla að forðast það að tölvupósturinn innihaldi viðkvæmar persónuupplýsingar. Ef þörf er á að senda embættinu gögn með viðkvæmum upplýsingum er gott ráð að nota ábyrgðarpóst eða koma með gögnin á starfsstöð embættisins.

e) Heimsókn á starfsstöð embættisins

Embættið skráir ekki hverjir koma á starfsstöð embættisins, nema það varðar mál sem er til meðferðar og tilefni er til fundargerðar eða skráningu atvika.

Embættið er jafnframt með rafræna vöktun með eftirlitsmyndavélum á starfsstöð sinni, Hlíðasmára 11, í öryggis- og eignavörsluskyni. Embættið gætir þess að fylgja reglum um rafræna vöktun en vöktunin byggist á lögmætum hagsmunum. Frekari upplýsingar má finna á vefsíðu embættisins.

Framkvæmd upplýsingaöflunar

Í kjölfar umsókna óskar embættið eftir ákveðnum upplýsingum með rafrænum hætti frá öllum þeim aðilum sem embættið hefur vefþjónustu við. Um er að ræða Tryggingastofnun, Skattinn, Arion banka, Íslandsbanka, Landsbankann, Þjóðskrá, Samgöngustofu, Húsnæðis- og mannvirkjastofnun, Motus, Borgun, Netgíró, Inkasso og Fjársýslu ríkisins. Þá eru upplýsingabeiðnir jafnframt sendar til Landsbankans, Aurs, Gjaldheimtunnar, Greiðslumiðlunar, Gjaldskila, NúNú, BPO innheimtu, Lykils, Motus og Símans. Ef ljóst er að umsækjandi er með námslán er upplýsingabeiðni send til Menntasjóðs námsmanna. Embættið aflar upplýsinga frá sýslumanni um veðbönd eigna og þinglýst skjöl. Þá getur embættið aflað upplýsinga frá Creditinfo um færslur á vanskilaskrá.

Vakin skal athygli á því að í því skyni að tryggja að mál sé nægjanlega upplýst áður en ákvörðun er tekin í því, getur umboðsmaður skuldara óskað eftir upplýsingum frá framangreindum aðilum jafnvel þótt umsókn eða önnur gögn málsins beri ekki með sér að þeir eigi kröfu á hendur umsækjanda. Í framkvæmd er því ávallt óskað eftir upplýsingum hjá öllum stærri kröfuhöfum og innheimtuaðilum, um kröfur á hendur umsækjanda, til þess að fjárhagsstaða viðkomandi verði sem skýrust. Komi í ljós að um aðra kröfuhafa sé að ræða, eru upplýsingabeiðnir sendar til þeirra.

Vakin skal athygli á því að kröfuhafar sem miðla upplýsingum til embættisins teljast ábyrgðaraðilar fyrir miðluninni.

Viðtakendur persónuupplýsinga

Á vegum embættisins starfa nokkrir vinnsluaðilar sem vinna á grundvelli samnings og laga um persónuvernd og vinnslu persónuupplýsinga. Vinnsluaðili er aðili sem hefur heimild til að vinna með persónuupplýsingar á vegum ábyrgðaraðila.

Eftirfarandi eru helstu vinnsluaðilar embættisins:

Þekking ehf.

Þekking er tölvu- og upplýsingatæknifyrirtæki sem annast hýsingu á upplýsingakerfum embættisins og annast alhliða tölvu- og rekstrarþjónustu.

Miracle ehf.

Miracle er hugbúnaðarfyrirtæki sem hannað hefur vinnslukerfi embættisins og veitir þjónustu vegna þeirra.

Hugvit hf.

Hugvit er með upplýsingakerfið GoPro Foris sem er málaskráakerfi embættisins.

Stefna ehf.

Stefna er upplýsingatæknifyrirtæki sem hannað hefur vefsíðu embættisins og annast hýsingu hennar.

Taktikal ehf.

Taktikal býður upp á lausn fyrir rafrænar undirskriftir sem embættið nýtir.

Vinnsla framangreindra aðila felst í heimild þeirra til að hafa aðgang og þannig skoða ákveðnar persónugreinanlegar upplýsingar, með skýrt skilgreindum og afmörkuðum hætti, sem nauðsynlegt er til þess að geta veitt umsamda þjónustu. Á vinnsluaðilum hvílir rík trúnaðarskylda.

Þá notast embættið við Office 365 frá Microsoft, sem felur m.a. í sér að tölvupóstur er geymdur í skýi á vegum fyrirtækisins. Tölvupóstur sem sendur er til embættisins varðveitist því hjá Microsoft en er ekki áframsendur til þriðja aðila. Umbra, þjónustumiðstöð Stjórnarráðsins, þjónustar embættið í tengslum við upplýsingatæknimál varðandi Office 365.

Aðrir viðtakendur

Embættið veitir eingöngu þriðja aðila persónuupplýsingar sem embættið hefur fengið frá umsækjanda eða opinberum aðilum/einkaaðilum, sé mælt fyrir um miðlun slíkra upplýsinga í lögum eða vegna þess að umsækjandi hefur óskað eftir því.

Í úrræði greiðsluaðlögunar er um að ræða eftirfarandi miðlun persónuupplýsinga til þriðja aðila (í samræmi við ákvæði laga):

• Ef umsókn er samþykkt er innköllun birt í Lögbirtingablaði. Í innköllun er skorað á kröfuhafa að lýsa kröfum á hendur umsækjanda (upplýsingar um nafn, kennitölu og heimilisfang umsækjanda).
• Þekktir kröfuhafar, ábyrgðarmenn og samskuldarar fá sent afrit af innkölluninni ásamt bréfi sem felur í sér tilkynningu um að greiðsluaðlögunarumleitanir séu hafnar.
• Tillaga að samningi um greiðsluaðlögun (frumvarp til greiðsluaðlögunar) er send til þeirra kröfuhafa sem hafa lýst kröfu og málið varðar. Í þessari tillögu að samningi koma fram allar þær persónuupplýsingar sem ber að tilgreina skv. lögunum, þ.e. almennar upplýsingar um viðkomandi, allar viðeigandi fjárhagsupplýsingar og eftir atvikum viðkvæmar persónuupplýsingar, að höfðu samráði við umsækjanda. Frekari upplýsingum kann að vera miðlað vegna samningaviðræðna. Læknisvottorðum er aldrei miðlað til kröfuhafa, nema umsækjandi óski sérstaklega eftir því. Tilkynning um að greiðsluaðlögunarumleitanir séu hafnar hjá umsækjanda, með upplýsingum um nafn og kennitölu hlutaðeigandi, er send til þeirra kröfuhafa sem lýstu ekki kröfu.
• Samþykktur samningur (með ofangreindum upplýsingum) er sendur til allra kröfuhafa sem lýstu kröfu og málið varðar. Samantekt um niðurstöðu samnings er send til annarra kröfuhafa. Ábyrgðarmenn og samskuldarar fá senda tilkynningu um að samningur hafi tekið gildi og hver niðurstaða samnings er gagnvart kröfum er þá varðar.
• Viðeigandi upplýsingum er miðlað til lýstra kröfuhafa vegna kröfu umsækjanda um breytingu á samningi og ákvörðunar embættisins vegna þeirrar kröfu.
• Tilkynningar um lok tímabundinnar frestunar greiðslna (svokallað greiðsluskjól) eru sendar til kröfuhafa, ábyrgðarmanna og samskuldara með upplýsingum um nafn og kennitölu viðkomandi.
• Upplýsingum kann að vera miðlað til sýslumanns vegna skráningar/aflýsingar athugasemdar á eign viðkomandi í samræmi við ákvæði laga.
• Náist ekki frjáls samningur kann frumvarpi til nauðasamnings og/eða eftir atvikum frumvarpi til tímabundinnar greiðsluaðlögunar fasteignaveðkrafna að vera miðlað til kröfuhafa ásamt greinargerð umsjónarmanns (sömu upplýsingar og koma fram í frumvarpi til greiðsluaðlögunar).
• Auglýst er í Lögbirtingablaði um hvort nauðasamningur hafi verið staðfestur (nafn og kennitala umsækjanda).

Í úrræði ráðgjafar er upplýsingum miðlað til kröfuhafa hafi umsækjandi óskað eftir að embættið hafi milligöngu um samskipti og samningaviðræður við kröfuhafa. Þær upplýsingar sem kunna að vera sendar eru greiðsluerfiðleikamat með fjárhagsupplýsingum, áætlun um greiðslur, skattframtöl og upplýsingar um laun. Samkvæmt lögum um umboðsmann skuldara er embættinu heimilt að miðla til kröfuhafa viðeigandi upplýsingum sem gefa heildarmynd af fjárhag skuldara þegar slík miðlun er nauðsynleg að mati umboðsmanns, til að hann geti sinnt hlutverki sínu. Viðkvæmum upplýsingum, sem eru ekki fjárhagsupplýsingar, t.d. um heilsufar, er ekki miðlað nema með sérstöku samþykki umsækjanda.

Embættinu er skylt að láta félagsmálaráðuneytinu eða úrskurðarnefnd velferðarmála í té öll gögn máls og nauðsynlegar upplýsingar vegna meðferðar kærumála.

Varðveislutími

Þar sem embætti umboðsmanns skuldara er afhendingarskyldur aðili á grundvelli laga um opinber skjalasöfn nr. 77/2014, er embættinu óheimilt að eyða hvers konar gögnum sem hafa borist stofnuninni. Afhendingarskyld skjöl skal afhenda opinberu skjalasafni þegar þau hafa náð 30 ára aldri. Þá skulu skjöl og önnur gögn á rafrænu formi afhent að jafnaði eigi síðar en þegar þau hafa náð fimm ára aldri.

Upptökur úr eftirlitsmyndavélum eru varðveittar í 30 daga en síðan er þeim eytt.

Öryggi

Embættið ásamt vinnsluaðilum, viðhefur ákveðnar tæknilegar og skipulagslegar ráðstafanir til að tryggja viðunandi öryggi persónuupplýsinga. Vinnsluaðilum ber að hlíta nákvæmum vinnslusamningum, þar sem skyldur þeirra í tengslum við öryggi persónuupplýsinga er útlistað.

Ráðstafanir embættisins eru m.a. eftirfarandi:

• Aðgangsstýring mála
• Læsing skjala með lykilorðum séu þau send rafrænt í tölvupósti. Embættið hyggst taka upp svokallað ,,mitt svæði“ gagnvart umsækjendum, þar sem stýra má samskiptum á öruggari máta.
• Útgefin öryggisstefna og reglubundið áhættumat
• Verklagsreglur um vinnslu persónuupplýsinga
• Eftirlit með vinnslu persónuupplýsinga
• Fræðsla og þjálfun starfsfólks til að stuðla að öryggisvitund
• Rafræn vöktun með eftirlitsmyndavélum

Allir starfsmenn embættisins og vinnsluaðila skrifa undir þagnarheit um þær upplýsingar sem þeir verða áskynja í starfi sínu. Þagnarskyldan helst þótt látið sé af starfi. Þá eru starfsmenn embættisins jafnframt bundnir trúnaðarskyldu samkvæmt lögum um réttindi og skyldur starfsmanna ríkisins. Brot á slíkri trúnaðarskyldu getur varðað refsingu samkvæmt almennum hegningarlögum.

Ef embættið verður vart við öryggisbrot við meðferð persónuupplýsinga, er Persónuvernd tilkynnt um brotið nema ólíklegt þyki að brotið leiði til áhættu fyrir réttindi og frelsi einstaklinga. Einstaklingi er jafnframt tilkynnt um brotið ef líklegt er að það leiði af sér mikla áhættu fyrir réttindi og frelsi hans sjálfs.

Réttindi einstaklinga

Réttur til leiðréttingar og eyðingar persónuupplýsinga

Einstaklingur á rétt á að fá óáreiðanlegar persónuupplýsingar er varða hann sjálfan leiðréttar af ábyrgðaraðila án ótilhlýðilegrar tafar. Þar sem embættið er skuldbundið að varðveita persónuupplýsingar sem berast embættinu skv. lögum um opinber skjalasöfn, geta einstaklingar almennt ekki óskað eftir eyðingu persónuupplýsinga. Í einstaka tilfellum gæti réttur til eyðingar þó átt við.

Réttur til þess að fá aðgang að eigin persónuupplýsingum

Einstaklingur á rétt á því að fá staðfestingu frá embættinu um það hvort verið sé að vinna persónuupplýsingar er varða hann sjálfan og, ef svo er, rétt til aðgangs að þeim upplýsingum. Samhliða á viðkomandi rétt á upplýsingum um tilgang vinnslunnar, flokka persónuupplýsinga, viðtakendur þeirra, fyrirhugaðan varðveislutíma, réttindi hans skv. löggjöfinni, hvaðan upplýsingarnar koma og hvort fari fram sjálfvirk ákvörðunartaka. Ákveðnar undantekningar eru á aðgangsréttinum, t.d. gildir hann ekki ef brýnir hagsmunir einstaklinga tengdir upplýsingunum vega þyngra. Þá má undanþiggja upplýsingar í málum sem eru til meðferðar hjá stjórnvöldum að sama marki og gildir um undantekningar á upplýsingarétti samkvæmt upplýsingalögum og stjórnsýslulögum.

Réttur til þess að flytja persónuupplýsingar

Ef vinnsla persónuupplýsinga byggist á samþykki og er sjálfvirk, skal einstaklingur eiga rétt á að fá persónuupplýsingar er varða hann sjálfan, sem hann hefur sjálfur látið embættinu í té, á skipulegu, algengu, tölvulesanlegu sniði og eiga rétt á að senda þessar upplýsingar til annars ábyrgðaraðila. Ef það er tæknilega framkvæmanlegt á einstaklingur rétt á að senda persónuupplýsingar beint frá einum ábyrgðaraðila til annars.

Réttur til að andmæla og takmarka vinnslu persónuupplýsinga

Ef vinnsla byggist á almannahagsmunum eða lögmætum hagsmunum embættisins, á einstaklingur rétt á að andmæla hvenær sem er, vegna sérstakra aðstæðna sinna, vinnslu persónuupplýsinga er varða hann sjálfan. Ber þá embættinu almennt ekki að vinna persónuupplýsingarnar frekar. Þá á einstaklingur rétt til þess að embættið takmarki vinnslu undir ákveðnum kringumstæðum, t.d. ef hann vefengir að persónuupplýsingar séu réttar.

Samskipti við embættið og Persónuvernd

Umboðsmaður skuldara, kt. 660710-1080 er ábyrgðaraðili fyrir vinnslu persónugreinanlegra upplýsinga hjá stofnuninni. Embætti umboðsmanns skuldara er staðsett í Hlíðasmára 11, 201 Kópavogi en opnunartími embættisins er virka daga frá kl. 10:00-15:00. Einnig er hægt að hafa samband í símanúmerið 512-6600 og á netfangið ums@ums.is.

Persónuverndarfulltrúi embættisins hefur eftirlit með að farið sé að ákvæðum laga og reglna um persónuvernd og vinnslu persónuupplýsinga, veitir ráðgjöf og er tengiliður stofnunarinnar við Persónuvernd. Hægt er að beina spurningum og ábendingum varðandi vinnslu persónuupplýsinga og persónuvernd á netfangið personuvernd@ums.is

Komi upp ágreiningur um meðferð persónuupplýsinga er unnt að senda kvörtun til Persónuverndar með því að senda tölvupóst á netfangið postur@personuvernd.is. Þá er hægt að senda bréfpóst á heimilisfang Persónuverndar, Rauðarárstígur 10, 105 Reykjavík.