Horseday ehf. veitti hestaeiganda ekki fullnægjandi fræðslu um vinnslu persónuupplýsinga hennar í smáforritinu Horseday, samkvæmt úrskurði Persónuverndar. Fyrirtækið hafði heimild til vinnslunnar á grundvelli lögmætra hagsmuna, en fræðsluskorturinn varð til þess að hún samrýmdist ekki meginreglunni um lögmæta, sanngjarna og gagnsæja vinnslu.
Horseday er gert að færa vinnsluna til samræmis við reglurnar. Staðfesting á að fyrirmælunum hafi verið fylgt þarf að berast Persónuvernd eigi síðar en 16. október 2026. Félagið var hvorki sektað né áminnt.
Úrskurðurinn er frá 16. september 2026, í máli nr. 2025010154, áður 2024020368. Formleg niðurstaða hans varðar vinnslu persónuupplýsinga konunnar sem kvartaði og er ónafngreind í úrskurðinum.
Kvartaði yfir að nafn hennar færi í smáforritið
Konan kvartaði yfir því að Bændasamtök Íslands miðluðu persónuupplýsingum hennar úr WorldFeng til Horseday og að félagið ynni þær áfram í smáforritinu. Upplýsingarnar sem málið snerist um voru nafn hennar sem eiganda hrossa.
WorldFengur er bæði upprunaættbók íslenska hestsins og opinber hjarðbók hrossa á Íslandi. Horseday er smáforrit fyrir hestamenn, hugsað sem dagbók um umhirðu og þjálfun hestsins, þar sem meðal annars er unnið með grunnupplýsingar úr WorldFeng.
Kvartandinn taldi miðlunina óheimila og benti á að henni hefði verið skylt að skrá upplýsingarnar í WorldFeng. Hún kvaðst ekki hafa fengið vitneskju um miðlunina fyrr en tveimur árum eftir að hún hófst. Hún mótmælti einnig því að Horseday gæti byggt vinnsluna á lögmætum hagsmunum og taldi hana hvorki sanngjarna né gagnsæja.
Miðlun Bændasamtakanna talin heimil
Bændasamtök Íslands byggðu meðal annars á því að þeim bæri að veita aðgang að gögnunum samkvæmt upplýsingalögum og að miðlunin styddi nýsköpun. Horseday vísaði hins vegar til lögmætra hagsmuna félagsins, hestaeigenda og þjálfara af aðgengi að upplýsingum um eignarhald hrossa.
Persónuvernd féllst ekki á að það ákvæði upplýsingalaga sem Bændasamtökin vísuðu til uppfyllti kröfuna um skýra lagaskyldu til þessarar tilteknu vinnslu. Miðlunin var þó talin heimil á öðrum grundvelli: hún hefði verið nauðsynleg í þágu almannahagsmuna, sem fælust í auknu aðgengi að opinberum gögnum, meðal annars til nýsköpunar.
Miðlun Bændasamtakanna á upplýsingum kvartandans var jafnframt talin samrýmast þeim meginreglum sem Persónuvernd rannsakaði, upp að því marki sem stofnunin taldi nauðsynlegt vegna kvörtunarinnar.
Persónuvernd taldi einnig að Horseday hefði lögmæta hagsmuni af vinnslunni og að þeir vægju þyngra en hagsmunir eða grundvallarréttindi og frelsi kvartandans sem krefðust verndar persónuupplýsinga. Þar vó meðal annars að vinnslan var afar takmörkuð og upplýsingarnar um eignarhald þegar aðgengilegar áskrifendum WorldFengs. Þær töldust hvorki viðkvæmar né viðkvæms eðlis.
Persónuverndarstefnan náði aðeins til notenda
Það var fræðslan um áframhaldandi vinnslu Horseday sem brást. Persónuverndarstefna félagsins fjallaði aðeins um vinnslu upplýsinga notenda smáforritsins, sem þeir veittu félaginu með samþykki sínu. Fræðslu um vinnslu upplýsinga annarra, svo sem þeirra sem komu úr WorldFeng, vantaði.
Persónuvernd greindi þar á milli upphaflegrar öflunar upplýsinganna og síðari vinnsluaðgerða. Stofnunin taldi Horseday ekki hafa borið að fræða kvartandann sérstaklega þegar félagið aflaði upplýsinganna frá Bændasamtökunum. Öðru máli gegndi um frekari vinnslu þeirra, þar á meðal miðlun til notenda smáforritsins.
Niðurstaðan var því sú að Horseday hefði ekki veitt kvartandanum fullnægjandi fræðslu og ekki sýnt fram á að gagnsæiskröfunni hefði verið fullnægt gagnvart henni.
Sía útbúin – hvorki sekt né áminning
Ráðgjafarmiðstöð landbúnaðarins, RML, er þjónustuaðili við rekstur WorldFengs og veitti Horseday leyfi til að birta gögn úr honum með tengingu við gagnagrunninn. Eftir athugasemdir kvartandans útbjó RML síu sem gerir eigendum hrossa í WorldFeng kleift að stöðva miðlun upplýsinga um hross sín. Horseday samþykkti notkun síunnar.
Persónuvernd taldi ekki næg efni til að leggja stjórnvaldssekt á Horseday eða veita félaginu áminningu. Við það mat var einkum litið til eðlis brotsins og umfangs vinnslunnar: persónuupplýsingarnar voru afar takmarkaðar og hvorki viðkvæmar né viðkvæms eðlis. Fyrirmælin um að færa vinnsluna til samræmis standa engu að síður.
Heimild: Úrskurður Persónuverndar frá 16. september 2026.
