Persónuvernd hefur komist að þeirri niðurstöðu að fyrirtækinu Keldunni hafi verið heimilt að skrá ónafngreindan mann í svokallaðan PEP-gagnagrunn um einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla. Þetta var gert vegna þess að maðurinn var talinn náinn samstarfsmaður háttsetts einstaklings í opinberri þjónustu. Hinn háttsetti aðli á sæti í stjórn ríkisfyrirtækis en hið nána samstarf fólst í að þessir tveir einstaklingar voru saman í stjórn foreldrafélags grunnskóla.
Að vera skráður í PEP-gagnagrunn hefur það í för með sér að geta aukið flækjustig í öllum umsóknum og samskiptum við fjármálastofnanir. Taka þarf sérstaklega fram að maður teljist vera í áhættuhópi vegna stjórnmálalegra tengsla og ber stofnununum þá samkvæmt lögum að hafa enn strangara eftirlit með viðskiptum viðkomandi. Byggir þetta á lögum um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka.
Kvörtunin var lögð fram í apríl 2023. Kvartandinn taldi Kelduna hafa skort lagaheimild til að safna persónuupplýsingum hans og skrá þær í PEP-gagnagrunninn um einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla, eins og þeir eru skilgreindir í lögum um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka. Einnig var ágreiningur um hvort upplýsingagjöf Keldunnar til mannsins í tengslum við vinnslu persónuupplýsinganna hafi verið í samræmi við lög.
Segir í úrskurði Persónuverndar að sá sem kvartaði hafi verið skráður í gagnagrunninn þar sem hann hafi verið talinn náinn samstarfsmaður háttsetts einstaklings í opinberri þjónustu, stjórnarmanns hjá ríkisfyrirtæki en hvert það er hefur verið afmáð úr úrskurði Persónuverndar.
Tengslin voru talin felast í setu kvartandans í stjórn foreldrafélags grunnskóla með viðkomandi stjórnarmanni. Taldi kvartandinn stjórnarsetu í foreldrafélaginu ekki hafa veitt Keldunni heimild fyrir söfnun og skráningu upplýsinga um hann í gagnagrunninn, enda hafi hann ekki átt að flokkast sem einstaklingur í áhættuhópi á þeim grundvelli. Hann taldi einnig upplýsingagjöf Keldunnar, um það hver væri ábyrgðaraðili skráningarinnar, ófullnægjandi. Enginn hjá félaginu hafi verið skráður fyrir sendingu bréfs, þar sem honum hafi verið tilkynnt um fyrirhugaða skráningu í gagnagrunninn, og starfsmenn hafi svarað tölvupóstum án þess að gefa upp fullt nafn.
Keldan vildi meina að þessi vinnsla persónuupplýsinga mannsins hafi verið nauðsynleg til að fullnægja skyldum þess samkvæmt lögum um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka. Taldi fyrirtækið að grundvallarréttindi og frelsi mannsins vægi ekki þyngra en hinir lögmætu hagsmunir sem félagið hafi af vinnslunni við PEP-gagnagrunninn. Tilkynningaskyldum aðilum sé skylt að líta til upplýsinganna í starfsemi sinni og þeir einstaklingar sem hafi stjórnmálaleg tengsl geti búist við því að unnið sé með slíkar upplýsingar á grundvelli laganna. Samkvæmt lögunum teljist í áhættuhópi einstaklingar, sem séu eða hafi verið háttsettir í opinberri þjónustu, ásamt nánustu fjölskyldu þeirra og nánum samstarfsmönnum. Til háttsettra einstaklinga í opinberri þjónustu teljist fulltrúar í stjórn, framkvæmdastjórn eða eftirlitsstjórn fyrirtækja í eigu ríkis. Sérstaklega sé tilgreint á lista Fjármálaeftirlitsins að staða stjórnarmanna í viðkomandi ríkisfyrirtæki teljist til háttsettra opinberra starfa.
Til náinna samstarfsmanna einstaklinga sem gegni slíkum störfum séu meðal annars meðeigendur að lögaðila og ekki sé gerður greinarmunur á því í lögunum hvort viðkomandi félag sé rekið í hagnaðarskyni eða ekki. Kvartandinn hafi á þeim tíma sem hann var skráður í PEP-gagnagrunninn, verið skráður raunverulegur eigandi lögaðila, sem er foreldrafélagið, ásamt umræddum stjórnarmanni í ríkisfyrirtæki.
Með vísan til alls þessa var það mat Keldunnar að maðurinn sem kvartaði hafi talist vera í áhættuhópi vegna stjórnmálalegra tengsla og því hafi verið heimilt að skrá hann í PEP-gagnagrunninn.
Hvað varðaði þann lið kvörtunarinnar er sneri að ábyrgð á vinnslu persónuupplýsinganna vildi Keldan meina að fyrirtækið hefði komið því á framfæri við manninn að félagið sjálft en ekki einstakir starfsmenn bæru ábyrgð á vinnslunni.
Þegar kemur að því að leysa úr hvort maðurinn sem kvartaði teljist náinn samstarfsmaður stjórnarmannsins, vegna setu þeirra í stjórn foreldrafélagsins, þá segir í niðurstöðu Persónuverndar að ekki verði séð að dómstólar eða þar til bær stjórnvöld hafi leyst úr því hvort stjórnarmenn almennra félaga, þar með talið foreldrafélaga, teljist nánir samstarfsmenn í skilningi laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka. Það falli utan valdsviðs Persónuverndar að skera úr um hvort tiltekin stjórnarseta, með einstaklingi sem sé eða hafi verið háttsettur í opinberri þjónustu, leiði til þess að viðkomandi teljist nánir samstarfsmenn eða ekki. Persónuvernd segir að ekki verði ekki annað séð en að mat Keldunnar á stöðu kvartandans gagnvart stjórnarmanninum vegna stjórnarsetu þeirra beggja í foreldrafélaginu, hafi getað rúmast innan þess ramma sem lögin marki.
Persónuvernd telur þar með að umrædd vinnsla persónuupplýsinga megi teljast Keldunni nauðsynleg til að veita viðskiptamönnum sínum þjónustu í tengslum við framkvæmd laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka. Lögmætir hagsmunir Keldunnar af vinnslunni vegi þyngra en hagsmunir eða grundvallarréttindi og frelsi kvartandans sem krefjist verndar persónuupplýsinga.
Það er því niðurstaða Persónuverndar að Keldunni hafi verið heimilt samkvæmt lögum um persónuvernd að safna persónuupplýsingum mannsins í PEP-gagnagrunn félagsins. Persónuvernd segir enn fremur en að það sé rétt hjá Keldunni að félagið hafi veitt manninum fullnægjandi upplýsingar varðandi vinnslu persónuupplýsinga hans og hver stæði á bakvið hana.
