Såhär ser ett registerutdrag ut med resehistorik från ett SL Accesskort (klicka för större bild).
Detta registerutdrag gavs inte ut lättvindigt, trots att personen som registrerat kortet på
Mitt SL var den som inkom med begäran att få ta del av uppgifter rörande denne själv. SL:s Kundtjänst nekade först genom att hänvisa till
PuL och att det inte gick att bevisa att kortet använts av den person som registrerat det på Mitt SL. Detta resonemang vägrade de vika ifrån även fast påpekan gjordes att just PuL ger rätten att få ett registerutdrag.
Då begärdes istället ett utlämnade av uppgifterna enligt
offentlighetsprincipen. Här fick förklaring ges till SL:s personal kring offentlighetsprincipen eftersom vederbörande personal inte kände till denna. Kundtjänstpersonalen upplystes därmed att offentlighetsprincipen är reglerad i grundlagen och ett av fundamenten i vårt demokratiska samhälle: rätten för medborgarna att ta del av myndigheters allmänna handlingar. Sådan sammanställning av uppgifter som resehistorik utgör är att anse som en allmän handling hos SL då de lyder under offentlighetsprincipen och likställs med en myndighet enligt
OSL. Svaret från kundtjänst var att detta inte var allmänna handlingar och att SL inte är en myndighet. Kundtjänst uppgav att bara protokoll och avslutade upphandlingar anses som allmänna handlingar hos SL.
Efter detta svar från SL:s kundtjänst begärdes ett skriftligt beslut från SL:s juridikavdelning på varför de nekar att lämna ut informationen. Denna begäran gjordes genom kundtjänsten som vidarebefordrade ärendet. Svaret som kom följer nedan. Det innehåller laghänvisningar som säger att SL är skyldiga att ge ut resehistorik och personuppgifter till den person som registrerat SL-Access kortet på Mitt SL. Svaret är helt korrekt och följer gällande lagstiftning och säger helt emot det som kundtjänstpersonalen hävdade. Som ni ser nedan påbörjar kundtjänsten mailet med att säga emot vad som sedan står i laghänvisningarna från juridikavdelningen.
”Hej
Tack för ditt ärende som gällde av vilka anledningar vi inte har rätt att ge ut information om vilka resor som gjorts på ett SL Access-kort.
Nedanstående svar fick vi av juridikavdelningen:
Den som begär utan annans resehistorik kommer att mötas av sekretess enligt OSL 29:3.
Den som med stöd av offentlighetsprincipen begär ut sin egen resehistorik kan få det under förutsättning att den informationen kan plockas fram på ett enkelt sätt.
Enligt PUL har man dessutom rätt att få ut sina egna personuppgifter som finns hos SL en gång per år. Värt att notera är att informationen om resandet endast lagras i 60 dagar.
Bakgrund:
SL Access-kortet är ett kontaktlöst kort med ett programmerbart chip som kan lagra, kommunicera och uppdatera information via avläsningsutrustningar i trafiken. Resenären kan ladda kortet med olika biljetter. Varje kort innehåller ett unikt serienummer. Via kortavläsare identifieras kortet och transaktionsdata, som bland annat innehåller uppgifter om datum, klockslag och hållplats/spärr för påstigning (resehistorik). SL Access registrerar inte när en kortresenär stiger av fordonet. Insamlad information överförs via kortläsare och lagras centralt i en databas.
SL Access-kunder kan registrera sig på SLs hemsida för att exempelvis få ett användarkonto på Mitt SL för personligt anpassade tjänster. Kunderna kan också registrera SL Access-kortet för att få förlustgaranti.
Resenärer med SL Accesskort kan fortsätta att resa anonymt genom att inte registrera det. Ett registrerat kort får också användas av annan resenär (undantag t.ex. skolkort). En resenär kan också resa anonymt med SL genom att köpa en kontantbiljett av trafikpersonal eller i automat. Insamlade personuppgifter lämnas inte ut till samarbetspartners eller andra i marknadsföringssyfte.
Behandlingen av resehistoriken (lagringen av information om varje gjord resa med SL Access-kortet) utgör sådan behandling av personuppgifter som innebär att personupp¬giftslagen (PUL) blir tillämplig. SLs kunder har därmed rätt att en gång per år begära ut de uppgifter som SL har om personen ifråga.
Har personen som begär ut uppgifterna inte registrerat sitt kort på Mitt SL eller för förlustgaranti, kan resehistoriken som registrerats för kortet inte kopplas till personen ifråga. Några uppgifter om resehistorik kan därmed inte lämnas ut. Är kortet däremot registrerat bör uppgifterna lämnas ut.
Datainspektionen har tidigare begärt att SL (och alla andra kollektiv¬trafikföretag) skall gallra resehistoriken efter 60 dagar. Dock lyder SL inte bara under PUL, utan också under offentlighetsprincipen. Reseinformationen är att betrakta som allmän handling (vilken i och för sig kan vara hemlig - belagd med sekretess), vilket innebär att SL är skyldigt att spara uppgifterna utan begränsning i tid. Datainspektionen har därför begärt att regeringen beslutar om särskilda gallringskrav, motsvarande dem som finns för trängselskatten i Stockholm. SL har tagit fram regler för gallring avseende SL Access. Av dessa regler framgår att gallring skall ske efter 60 dagar.
Med begreppet allmän handling avses inte enbart pappersdokument. Även elektroniskt lagrad information och andra så kallade tekniska upptagningar kan utgöra allmänna handlingar. Till allmän handling räknas även sammanställningar av elektroniskt lagrade uppgifter som en myndighet kan göra med "rutinbetonade åtgärder". Det finns inget krav på att vi sammanställer dokumentation om det inte kan ske på ett rutinmässigt sätt.
Resehistorik dvs var ett kort har ”gått på” beläggs som regel med Sekretess enligt Offentlighets- och sekretesslagen 29 kap 3 § (sekretess hos myndighet som handhar uppgifter om allmän samfärdsel). Detta gäller då inte i förhållande till den person kortet är registrerat på.
Tack för att du hörde av dig!
Vänliga hälsningar
SL Kundtjänst”
(Med hänsyn till kundtjänstpersonalens personliga integritet har dennes namn tagits bort ur svaret inför publiceringen på denna blogg.)
Efter detta svar kontaktades SL återigen och då med en skriftlig begäran om registerutdrag kring resehistorik kopplat till SL Access-kort enligt PuL 26 §, samt enligt
Offentlighetsprincipen.
Resehistoriken lämnades sedan ut av SL:s Personuppgiftsombud.
