Persónuvernd hefur komist að þeirri niðurstöðu að fyrirtækinu Keldunni hafi verið heimilt samkvæmt persónuverndarlögum að safna persónuupplýsingum barns sendifulltrúa í íslensku utanríkisþjónustunni. Viðkomandi var á þeim tíma þegar þetta átti sér stað staðgengill sendiherra í einu af sendiráðum Íslands.
Kvörtun foreldrisins og diplómatans barst í júlí 2023. Barnið var þá ólögráða en kvörtunin snerist um það að Keldan hefði safnað persónuupplýsingum um barnið í þeim tilgangi að skrá það í svokallaðan PEP-gagnagrunn um einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla eins og slíkir einstaklingar eru skilgreindir í lögum um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka.
Forsenda skráningar barnsins var sú að það teldist tilheyra nánustu fjölskyldu háttsetts einstaklings í opinberri þjónustu. Diplómatinn vildi hins vegar ekki meina að sú skilgreining ætti við um hann samkvæmt þeim mælikvörðum sem sé við hæfi að beita á Íslandi, sé litið til íslenskra aðstæðna, stærðarhlutfalla og eðli fámennrar íslenskrar stjórnsýslu, auk þess sem barnið væri ólögráða og ætti þar af leiðandi rétt á friðhelgi og persónuvernd.
Keldan vildi meina að fyrirtækið hefði eingöngu verið að sinna skyldu sinni samkvæmt persónuverndarlögum. Aðeins þeir aðilar sem væru tilkynningarskyldir samkvæmt lögum um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka gætu fengið áskrift að PEP-gagnagrunninum. Samkvæmt lögunum hvíli sú lagaskylda á tilkynningarskyldum aðilum að hafa viðeigandi kerfi, ferla og aðferðir til að meta hvort innlendir eða erlendir viðskiptamenn eða raunverulegir eigendur séu í áhættuhóp vegna stjórnmálalegra tengsla. Vísaði Keldan einnig til þess að þeir tilkynningarskyldu aðilar sem gerðust áskrifendur að umræddum gagnagrunni skoðist sem sameiginlegir ábyrgðaraðilar að vinnslu persónuupplýsinga með félaginu.
Keldan vildi enn fremur meina að félagið hefði haft lögmæta hagsmuni af veitingu þessarar þjónustu og skráningu persónuupplýsinga barnsins. Grundvallarréttindi og frelsi þeirra sem skráðir séu í PEP-gagnagrunninn vegi ekki þyngra en hinir lögmætu hagsmunir sem Keldan hafi af vinnslunni við gagnagrunninn. Tilkynningarskyldum aðilum sé skylt að líta til upplýsinganna í starfsemi sinni og þeir einstaklingar sem hafi stjórnmálaleg tengsl geti búist við því að unnið sé með slíkar upplýsingar á grundvelli laganna.
Vísaði Keldan einnig til þess að samkvæmt lögum um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka teldust staðgenglar sendiherra til háttsettra einstaklinga í opinberri þjónustu og börn viðkomandi teldust tilheyra nánustu fjölskyldu þeirra.
Vildi fyrirtækið loks meina að ákvæði persónuverndarlaga um vernd barna gegn vinnslu persónuupplýsinga snúist aðallega um notkun persónuupplýsinga barna í markaðssetningarskyni eða þegar búin sé til persónu- eða notendasnið, svo og um söfnun persónuupplýsinga er varði börn þegar þau noti þjónustu sem börnum sé boðin beint.
Í niðurstöðu sinni tekur Persónuvernd ekki undir með Keldunni að vinnsla persónuupplýsinganna og skráning þeirra í gagnagrunninn hafi verið nauðsynleg vegna þeirrar lagaskyldu sem hvíli á félaginu, sem ábyrgðaraðili skráningar upplýsinga í grunninn, og þar með verið heimil samkvæmt persónuverndarlögum.
Hins vegar hafi skráning persónuupplýsinga barns diplómatans uppfyllt annað ákvæði laganna en samkvæmt þeim sé slíkt heimilt ef það fari fram og sé nauðsynlegt í þágu lögmætra hagsmuna.
Persónuvernd segir þessa hagsmuni hafa falist í að vinnsla persónuupplýsinga, með þeim hætti sem umrætt mál snýst um, sé grundvöllur þess að Keldan geti veitt viðskiptavinum sínum þjónustu í tengslum við framkvæmd laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka. Samkvæmt þeim lögum sé tilkynningarskyldum aðilum skylt að hafa viðeigandi kerfi, ferla og aðferðir til að meta hvort innlendir eða erlendir viðskiptamenn eða raunverulegir eigendur séu í áhættuhópi vegna stjórnmálalegra tengsla. Fyrir liggi að Keldan starfræki PEP-gagnagrunninn í þeim tilgangi.
Samkvæmt lögunum tilheyri staðgenglar sendiherra áhættuhópi vegna stjórnmálalegra tengsla ásamt nánustu fjölskyldu sinni, þar með talið börnum. Ekkert hafi komið fram sem bendi til þess að Keldan vinni aðrar persónuupplýsingar um barnið en nauðsynlegt sé miðað við tilgang vinnslunnar eða að félagið hafi miðlað upplýsingunum til annarra en á þeim þurfi að halda á grundvelli laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka.
Auk þess hafi Keldan leitast við að tryggja áreiðanleika persónuupplýsinganna með því að afla þeirra að meginstefnu til frá opinberum aðilum og veita diplómatanum færi á að tjá sig um efni þeirra áður en af skráningu í gagnagrunninn varð. Leggja verði til grundvallar að lögmætir hagsmunir Keldunnar af vinnslu persónuupplýsinga barnsins vegi þyngra en hagsmunir eða grundvallarréttindi þess.
Niðurstaða Persónuverndar er því sú að Keldunni hafi verið heimilt samkvæmt persónuverndarlögum að safna og skrá persónuupplýsingar barns diplómatans í PEP-gagnagrunninn.
