Lämna ut uppgifter från resebyrå

Näringslivet

Fråga:

Jag har en fråga angående utlämnande av personuppgifter från resebyråer. Vårt företag har reseavtal med olika resebyråer vad gäller tjänsteresor där vårt företag står för kostnaderna. Inom företaget har vi policies/riktlinjer som säger vilken typ av resor den anställda ska välja med hänsyn till prisnivå, flyg eller tåg osv. För att kunna följa upp att policyn verkligen efterlevs behöver vi kunna ta fram information om när och hur man överskrider policyn — det behöver ju inte alltid vara missbruk av policyn utan ibland kanske det enda möjliga alternativet är att till exempel ta det dyrare resealternativet.

Har resebyrån rätt att till oss lämna ut uppgifter om namn på de personer som har överskridit policynivån?

Svar:

Med anledning av din förfrågan får Datainspektionen meddela följande.

Din fråga aktualiserar två frågeställningar.

Den första frågeställningen avser utlämnandet av personuppgifter från resebyråerna. Det är resebyrån som är personuppgiftsansvarig för personuppgiftsbehandling som sker hos resebyrån och således den som självständigt och på eget ansvar har att tillse att den behandling av personuppgifter som resebyrån utför står i överensstämmelse med personuppgiftslagens (PuL) regler.

Avgörande för om resebyrån får lämna ut personuppgifter är för vilket ändamål resebyrån samlat in de aktuella personuppgifterna. Enligt 9 § d) personuppgiftslagen får personuppgifter inte behandlas för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna samlades in. Eftersom själva utlämnandet av personuppgifter utgör en sådan behandling som avses i personuppgiftslagen så måste alltså avsikten med utlämnandet av uppgifterna rymmas inom det ändamål som uppgifterna ursprungligen samlades in för. Någon skyldighet att lämna ut personuppgifter finns dock inte enligt personuppgiftslagen och det är den personuppgiftsansvarige som har att göra bedömningen om utlämnandet är förenligt med personuppgiftslagen.

Den andra frågeställningen avser den personuppgiftsbehandling som kan komma att utföras hos företaget beträffande de uppgifter som inhämtas från resebyråerna.

En arbetsgivare har rätt att utan samtycke från den registrerade behandla dennes personuppgifter till exempel om det är nödvändigt för att ett avtal mellan dem personuppgiftsansvarige och den registrerade skall kunna fullgöras. Om den policy som omnämns i din fråga utgör en överenskommelse mellan arbetsgivaren och den anställda kan den utgöra ett sådant avtal som gör att företaget har rätt att behandla den anställdes personuppgifter. Det förutsätter dock att företaget informerar de anställda som berörs om den personuppgiftsbehandling som utförs.

Sådan information ska enligt 24 § personuppgiftslagen lämnas till den registrerade när uppgifterna registreras och ska enligt 25 § samma lag innehålla uppgift om

a) uppgift om den personuppgiftsansvariges identitet,

b) uppgift om ändamålet med behandlingen,

c) all övrig information som behövs för att den registrerade ska kunna ta tillvara sina rättigheter i samband med behandlingen såsom information om mottagarna av uppgifterna, skyldigheten att lämna uppgifter och rätten att ansöka om information och få rättelse.

(Oktober 2003)

Personuppgiftsombudet


Samrådsyttranden
Ett personuppgiftsombud kan fråga Datainspektionen om råd när han eller hon är osäker på vilka regler som gäller för hur personuppgifter ska behandlas eller hur de ska användas. På de här sidorna har vi samlat en del av dessa samrådsfrågor och -svar som kan vara av allmänt intresse.

Till listan med samrådsyttranden

Frågor & svar

För dig som vill veta mer har Datainspektionen sammanställt en mängd vanliga frågor och svar om personuppgiftslagen och andra områden.