Persónuvernd hefur úrskurðað í máli manns sem kvartaði yfir því að Allianz á Íslandi hefði miðlað upplýsingum um vátryggingasamning hans við fyrirtækið til annars fyrirtækis sem hefði í kjölfarið hringt í hann og boðið honum ráðgjöf um vátryggingavernd, þrátt fyrir að símanúmer hans væri bannmerkt í símaskrá. Er það niðurstaða Persónuverndar að þessi framganga fyrirtækjanna hafi verið í samræmi við lög um persónuvernd.
Kvörtun mannsins barst Persónuvernd í maí 2022. Snerist hún um það að söluumboð þýska vátryggingafélagsins Allianz á Íslandi hafi miðlað upplýsingum varðandi vátryggingarsamning mannsins til Nýju vátryggingaþjónustunnar ehf. án samþykkis hans. Í framhaldinu hafi Nýja vátryggingaþjónustan hringt í manninn, í þeim tilgangi að bjóða honum ráðgjöf um vátryggingavernd og miðlun vátryggingaafurða, þrátt fyrir að símanúmer hans væri bannmerkt í símaskrá. Við þessa vinnslu persónuupplýsinga hafi Nýja vátryggingaþjónustan ehf. notað markhópalista sem keyptur hafi verið af félaginu Markvisst ehf.
Þegar kemur að sjónarmiðum mannsins segir í úrskurðinum að hann hefði talið að Allianz á Íslandi hafi ekki haft heimild til þess að miðla persónuupplýsingum hans til Nýju vátryggingaþjónustunnar. Hefði hann vísað til þess að hann hafi ekki veitt samþykki sitt fyrir slíku. Byggði maðurinn á því að í samningi hans við Allianz sé fólgin heimild til handa Allianz á Íslandi til gagnavinnslu, annars vegar í þeim tilgangi að meta áhættu og ganga frá endurtryggingum og hins vegar til að þjóna eðlilegri framkvæmd samningsins.
Hefði maðurinn hafnað því að í samþykkisyfirlýsingu vátryggingasamningsins felist svo rúm heimild til miðlunar og vinnslu persónuupplýsinga að heimilt hafi verið að miðla persónuupplýsingum hans til Nýju vátryggingaþjónustunnar enda hafi vátryggingamiðlunin ekkert hlutverk við að þjóna eðlilegri framkvæmd gildandi vátryggingasamninga Allianz við vátryggingataka. Þá hefði maðurinn vísað til þess að heimild Nýju vátryggingaþjónustunnar til vinnslu persónuupplýsinga, í þágu beinnar markaðssetningar, geti ekki grundvallast á samningssambandi við Allianz á Íslandi um miðlun vátrygginga til Allianz.
Hvað varði vinnslu persónuupplýsinga um hann af hálfu Markvisst ehf. hafi maðurinn talið að gerð markhópalista þar sem nafn hans, heimilisfang, kennitala og símanúmer komi fram, án þess að fyrir liggi samþykki fyrir vinnslunni, feli í sér brot á persónuverndarlöggjöfinni.
Um svör Allianz á Íslandi segir meðal annars í úrskurði Persónuverndar að þar hafi verið vísað til þess að söfnun persónuupplýsinga um manninn og miðlun þeirra til samningsbundinna ráðgjafa grundvallist á samþykki hans, samkvæmt 9. grein laga um persónuvernd. Við umsókn og samningsgerð um lífeyrissparnað við Allianz hafi maðurinn, með undirritun sinni, veitt félaginu heimild til að setja almennar umsóknar-, samnings- og bótaupplýsingar í sameiginlegt samskipta- og gagnavinnslukerfi Allianz samsteypunnar. Jafnframt hafi hann samþykkt að upplýsingarnar mætti vista hjá miðlara eða tryggingarsala og koma á framfæri við miðlara og önnur þýsk félög Allianz samsteypunnar, sem hafi með tryggingarmál hans að gera, að svo miklu leyti sem það þjóni eðlilegri framkvæmd samnings hans eða snerti reglulega umönnun viðskiptavina.
Einnig byggði Allianz á Íslandi á því að lögmætir hagsmunir, til nýtingar grunnupplýsinga í viðskiptamannagrunni sínum til beinnar markaðssetningar, heimili þessa vinnslu persónuupplýsinga. Frekari upplýsingar, en þörf hafi verið á í þágu þeirra hagsmuna, hafi ekki verið unnar eða þeim miðlað og ekki verði séð að hagsmunir eða grundvallarréttindi hins skráða sem krefjast verndar vegi þyngra. Miðlun upplýsinga um manninn til Nýju vátryggingaþjónustunnar sem sé vottaður ráðgjafi Allianz á Íslandi hafi því verið heimil.
Þegar kemur að þeim þætti málsins að hringt hafi verið í manninn þrátt fyrir bannmerkingu í símaskrá segir í úrskurðinum að Markvisst ehf. (sem lét Nýju vátryggingaþjónustinni lista í té sem innihélt m.a. símanúmer mannsins) hafi greint frá því að Nýja vátryggingaþjónustan hafi óskað eftir markhópalista frá félaginu sem innihélt nafn, heimilisfang og símanúmer einstaklinga. Markvisst hafi unnið markhópalistann upp úr upplýsingum af ja.is en að ósk Nýju vátryggingaþjónustunnar hafi listinn einnig innihaldið símanúmer sem væru bannmerkt í símaskrá.
Í niðurstöðuhluta úrskurðarins er gerð ítarleg grein fyrir lagalegum grundvelli málsins. Niðurstaða Persónuverndar er sú að fyrirtækjum sé heimil ákveðin vinnsla persónuupplýsinga um viðskiptamenn sína, óháð almennum bannmerkingum í símaskrá.
Það hafi verið hluti af skyldum Allianz á Íslandi gagnvart móðurfélaginu í Þýskalandi að halda við tryggingum sem fyrir væru og í því skyni hafa stöðugt samband við tryggingataka og veita þeim ráðgjöf, að eigin frumkvæði eða að þeirra ósk. Fram komi að markmiðið með því hafi verið að viðskiptavinurinn væri og yrði vel tryggður.
Hagsmunir Allianz á Íslandi af því að hafa beint markaðssetningu að manninum teljist því lögmætir. Þá verði ekki séð að hagsmunir og grundvallarréttindi og frelsi mannisins, sem krefjist verndar persónuupplýsinga, hafi vegið þyngra en hagsmunir Allianz af því að miðla upplýsingunum til Nýju vátryggingaþjónustunnar, þrátt fyrir að maðurinn hefði komið andmælum sínum við beinni markaðssetningu á framfæri með almennum hætti með bannmerkingu í símaskrá. Umrædd vinnsla Allianz á Íslandi á persónuupplýsingum mannsins hafi því samræmst lögum um persónuvernd.
Aðgangur Nýju vátryggingaþjónustunnar að persónuupplýsingum mannsins hafi byggt á vinnslusamningi. Því reyni ekki á hvort vinnsla þess fyrirtækis á upplýsingunum hafi verið í samræmi við lög um persónuvernd. Fyrirtækið hafi ekki farið út fyrir heimildir sínar sem vinnsluaðili þegar það óskaði eftir markhópalista frá Markvisst ehf.
Vinnsla Markvisst á markhópalistanum hafi einnig verið heimil samkvæmt lögum um persónuvernd þar sem hún ein og sér hafi ekki falið í sér markaðssetningu sem hafi verið beint sérstaklega að manninum.
