Ónefndur þingmaður lagði fram kvörtun til Persónuverndar vegna vinnslu persónuupplýsinga af hálfu fyrirtækisins Keldan. Sagði hann fyrirtækið hafa safnað persónuupplýsingum um hann og skráð þær á svokallaðan PEP-lista sem fyrirtækið tekur saman og nær yfir fólk sem talið er vera í sérstökum áhættuhópi vegna stjórnmálalegra tengsla. Er þessi listi tekinn saman á grundvelli laga um peningaþvætti og fjármögnun hryðjuverka. Persónuvernd komst hins vegar að þeirri niðurstöðu að vinnsla Keldunnar á persónuupplýsingum þingmannsins hafi ekki verið í trássi við lög um persónuvernd eins og hann vildi meina.
Eins og áður segir er viðkomandi einstaklingur ekki nafngreindur í úrskurði Persónuverndar en þó tekið fram að hann sé þingmaður.
Í viðtali við Vísi á síðasta ári kvartaði Þorgrímur Sigmundsson varaþingmaður Miðflokksins undan því að Keldan hefði sett nafn 14 ára sonar hans á listann en gerði þó ekki athugasemd við að hann sjálfur væri á listanum.
Ekki er fyllilega ljóst hvort að Þorgrímur var sá sem lagði fram umrædda kvörtun til Persónuverndar en einstaklingurinn sem um ræðir er alltaf sagður þingmaður í úrskurðinum en ekki varaþingmaður.
Viðtalið við Vísi var birt í júlí á síðasta ári en í því segist Þorgrímur ætla sér að kvarta til Persónuverndar vegna skráningar drengsins á listann. Kvörtunin sem þessi úrskurður snýst um var hins vegar lögð fram í apríl á síðasta ári sem bendir til að um sé að ræða einhvern annan einstakling.
Eftir að þingmaðurinn lagði fram kvörtunina veitti Keldan andsvör. Persónuvernd bauð þingmanninum að tjá sig um svör Keldunnar. Þingmaðurinn sagðist ætla að fela lögmanni að veita andsvörin en þau bárust hins vegar aldrei þrátt fyrir ítrekun Persónuverndar.
Samkvæmt kvörtun þingmannsins taldi hann Kelduna ekki hafa heimild samkvæmt persónuverndarlögum til að standa fyrir vinnslu persónuupplýsinga hans með þessum hætti. Vísaði þingmaðurinn til þess að hann hefði ekki veitt samþykki sitt fyrir vinnslunni og einnig þess að vinnslan væri ekki nauðsynleg til að fullnægja þeirri lagaskyldu sem hvíli á Keldunni. Félagið sé enda ekki tilkynningarskyldur aðili í skilningi laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka.
Keldan vildi meina að vinnsla persónuupplýsinga þingmannsins hafi ekki þurft að grundvallast á samþykki hans. Vinnslan væri nauðsynleg til að fullnægja lagaskyldu sem hvíli á fyrirtækinu. Sagði Keldan að eingöngu tilkynningarskyldir aðilar, samkvæmt lögum um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka, geti fengið áskrift að PEP-listanum. Taldi Keldan að þessir aðilar ásamt fyrirtækinu bæru sameiginlega ábyrgð á þessari vinnslu persónuupplýsinga sem þingmaðurinn kvartaði yfir.
Keldan sagðist enn fremur hafa lögmæta hagsmuni af veitingu þeirrar þjónustu að taka saman PEP-listann og vinnsla persónuupplýsinga þingmannsins sé nauðsynleg í því skyni. Tilkynningarskyldum aðilum sé beinlínis skylt að líta til upplýsinganna á listanum í starfsemi sinni og horfa þurfi til þess að einstaklingar með stjórnmálaleg tengsl geti búist við því að persónuupplýsingar um þá séu unnar.
Það er niðurstaða Persónuverndar að Keldan hafi haft lögmæta hagsmuni af vinnslu persónuupplýsinga þingmannsins þar sem um sé að ræða viðskiptahagsmuni sem felist í því að selja tilkynningarskyldum aðilum aðgang að PEP-listanum og vinnslan sé nauðsynleg til að veita þessa þjónustu. Vinnslunni sé enn fremur ætlað að styðja við framkvæmd laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka og ekkert bendi til að um að sé að ræða vinnslu annarra persónuupplýsinga en þeirra sem nauðsynlegt sé að vinna til stuðnings við framkvæmd laganna.
Persónuvernd bendir á móti á að vinnslan taki meðal annars til viðkvæmra persónuupplýsinga um stjórnmálaskoðanir þingmannsins. Þó verði að hafa hliðsjón af því að um sé ræða upplýsingar sem þingmaðurinn hafi sjálfur gert opinberar með stjórnmálaþátttöku sinni, auk þess sem upplýsingarnar komi einkum frá opinberum aðilum.
Það er því niðurstaða Persónuverndar að hagsmunir Keldunnar af vinnslunni hafi vegið þyngra í þessu tilfelli en hagsmunir þingmannsins. Niðurstaðan er sú að Keldunni hafi verið heimilt samkvæmt lögum um persónuvernd að vinna með persónuupplýsingar þingmannsins í því skyni að skrá þær á hinn margumrædda PEP-lista.
Úrskurðinn í heild sinni má nálgast hér.
