1.1 Denna uppförandekod avser enbart att reglera de behandlingar av personuppgifter som Återförsäljare och Operatörer gör och som är nödvändiga för Bokade resor inom kollektivtrafiken i Sverige, d.v.s. bokning och genomförande av resor med allmänna färdmedel som buss, tåg, spårvagn, tunnelbana och båt. Koden reglerar inte behandlingar av personuppgifter som Återförsäljare och Operatörer gör som inte är nödvändiga för en Bokad resa. Den reglerar inte heller personuppgiftsbehandlingar som görs i samband med resor som inte är Bokade resor.
1.2 Fullständig information om de behandlingar av personuppgifter som utförs av respektive Återförsäljare och Operatör ska tillhandahållas de registrerade av respektive part.
1.3 Denna uppförandekod har upprättats av Samtrafiken i Sverige AB i samråd med dess avtalsparter i Resplussamarbetet samt Jernhusen AB, Resenärsforum, SilverRail Technologies AB, Svensk Kollektivtrafik och SRF Svenska Resebranschföreningen. Samtrafiken i Sverige AB är ett företag som ägs av Operatörer och vars verksamhet syftar till att göra det kollektiva resandet enklare, tillgängligare och mer pålitligt. Det utbud av tidtabellsstyrd kollektivtrafik som Operatörerna inom Resplussamarbetet erbjuder utgör ca 95 procent av all sådan trafik i Sverige. Dessa Operatörer är personuppgiftsansvariga för sin behandling av de personuppgifter som är nödvändiga för bokning och genomförande av resor inom kollektivtrafiken i Sverige.
2.1 Denna uppförandekod kompletterar den dataskyddslagstiftning som vid var tid är tillämplig i Sverige vid bokning och genomförande av bokade kollektivtrafikresor i Sverige.
2.2 Syftet med uppförandekoden är att personuppgiftsbehandlingen inom kollektivtrafik- branschen för Bokade resor ska ske på ett enhetligt sätt. Syftet är också att tydliggöra för Resenärer och Bokare vilken personuppgiftsbehandling som aktualiseras i samband med bokade kollektivtrafikresor och vilka parter som behandlar personuppgifterna samt de legala grunderna för denna behandling.
3.1 De definitioner som anges i artikel 4 i Dataskyddsförordningen är tillämpliga även i denna uppförandekod. I tillägg till de definitioner som finns i Dataskyddsförordningen ska följande definitioner ha den betydelse som anges nedan.
”Bokad resa/Bokade resor” - en resa som är bokad innan resan påbörjas och ger Resenären rätt att resa på en specifik avgång. I vissa fall är resan kopplad till en begränsad resurs, t.ex. ett färdmedel som har platsbokning.
”Bokare” – den fysiska person som bokar en resa för egen och/eller annans räkning.
”Dataskyddsförordningen” - Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)
”Kundservice” – en funktion hos Återförsäljare samt Operatörer för att kunna besvara de registrerades frågor om Bokade resor samt hantera Trafikstörningar och reklamationer för de registrerade.
”Ledsagning” – assistans enligt Europaparlamentets och Rådets förordning (EG) nr 2021/782 av den 29 april 2021 om rättigheter och skyldigheter för tågresenärer som bl.a. Ombordledsagning och Stationsledsagning.
”Ombordledsagning” – ledsagning som innebär att varje rimlig ansträngning ska göras för att erbjuda assistans till personer med funktionsnedsättning eller nedsatt rörlighet så att de ges tillgång till samma tjänster ombord på tåg som övriga passagerare, om denna persons funktionshinder eller rörlighetsnedsättning hindrar honom eller henne från att oberoende och tryggt utnyttja dessa tjänster.
”Operatör/-er” – offentligt eller privat företag som bedriver kollektivtrafikverksamhet i Sverige, d.v.s. passagerartrafik med allmänna färdmedel, som buss, tåg, spårvagn, tunnelbana och båt som är tillgänglig för allmänheten, och vars utbud finns tillgängligt i ett bokningssystem.
”Resenär” – en fysisk person som reser med en eller flera Operatörer.
”Resplussamarbetet” – ett samarbete mellan Samtrafiken i Sverige AB och dess avtals- parter som är Operatörer. Resplussamarbetet syftar bland annat till att avtalsparternas utbud genom Samtrafiken blir kombinerbara och säljbara för Återförsäljare i svenska nationella säljkanaler.
”Specialplats” – rullstolsplats, rullstolsplats med stol, plats för rörelse- hindrad/handikapplats utan rullstol och djurfri plats.
”Stationsledsagning” - ledsagning som innebär att varje rimlig ansträngning ska göras för att erbjuda kostnadsfri assistans till Resenärer med funktionsnedsättning eller nedsatt rörlighet så att de kan stiga på avgående tåg, byta till anslutande tåg eller stiga av ett ankommande tåg till vilket de innehar biljett.
”Trafikstörning” – är när en Operatör inte kan tillhandahålla en resa i enlighet med vad som avtalats vid bokningstillfället.
”Återförsäljare” - Juridisk person (vanligtvis resebyrå eller Operatör) som har åtkomst till en eller flera Operatörers utbud av resetjänster och produkter i ett bokningssystem och som har rätt att boka och sälja en eller flera Operatörers utbud samt skyldighet att boka Ledsagning i egenskap av biljettutfärdare enligt Europaparlamentets och Rådets förordning (EG) nr2021/782 av den 29 april 2021.
4.1 Återförsäljare samlar i samband med bokning och försäljning av en resa in de personuppgifter som är nödvändiga för bland annat de ändamål som anges i punkt 4.5 och 6.3 nedan. Den lagliga grunden för Återförsäljarens behandling av personuppgifterna är avtalet med Resenären och Bokaren. Bokaren ingår avtal för Resenärens räkning om
Resenären inte bokar själv, varför även Resenären blir part i avtal med Återförsäljare. Den lagliga grunden för behandling av personuppgifter avseende en Bokare som företräder en juridisk person är berättigat intresse samt för en myndighet allmänt intresse.
4.2 Återförsäljaren är personuppgiftsansvarig för de behandlingar av personuppgifter som sker i samband med bokning av en resa.
4.3 Bokning av en resa kan ske genom att den registrerade själv eller via ombud lämnar erforderliga uppgifter för att den bokade resan ska kunna genomföras. Bokning kan ske via inmatning i ett digitalt gränssnitt eller med hjälp av personlig service via telefon eller i en butik.
4.4 Kategorier av personuppgifter som samlas in
Vilka kategorier av personuppgifter som samlas in om Bokaren och behandlas för att kunna genomföra en bokning bestäms av villkoren hos de Återförsäljare som ska genomföra bokningen. De kategorier av personuppgifter som i de flesta fall behandlas är förnamn, efternamn, mejladress, telefonnummer och i förekommande fall avtalsnummer.
Vilka kategorier av personuppgifter som samlas in om Resenären och behandlas för att kunna genomföra en avtalad resa bestäms av resevillkoren hos de Operatörer som ska genomföra resan. De kategorier av personuppgifter som i de flesta fall behandlas är förnamn, efternamn, resenärskategori, mejladress, telefonnummer och, om resevillkoren föreskriver det, även ålder, kön och nationalitet, samt i förekommande fall lojalitetsprogram och personliga mängd-/periodkort.
När bokning av den avtalade resan skett associeras den bokade resan med ett bokningsnummer. Den bokade resan kan därutöver också t.ex. innehålla information om bokningsdag, resdag, biljettnummer, tågnummer/linjenummer, från station, till station, via station, plats/vagn, klass, om biljetten är om- eller återbetalningsbar, övriga tjänster (wifi, måltider, specialkost, etc.), Återförsäljare och Operatörer inblandade i resan samt resans pris och betalningssätt.
4.5 Ändamålet med behandlingen av de personuppgifter som samlas in
Ändamålet med behandlingen av de insamlade personuppgifterna är att kunna boka och tillhandahålla en avtalad resa. Personuppgifterna behöver behandlas för att Återförsäljaren eller Operatören ska kunna kontakta Resenären i syfte att ge Resenären allmän information om resan eller för att kunna ge Resenären en annan resplan vid en Trafikstörning. De Operatörer som är involverade i genomförandet av en resa och Återförsäljaren behöver också uppgifterna för att hantera eventuella reklamationer.
5.1 De personuppgifter som har samlats in av Återförsäljaren för att en Bokad resa ska kunna genomföras delas av Återförsäljaren med den Operatör eller de Operatörer som ska tillhandahålla den bokade resan. De Operatörer som ges tillgång till personuppgifter med anledning av en Bokad resa är personuppgiftsansvariga för de personuppgifter som de får tillgång till och de behandlingar som de utför med dessa. Operatören har endast rätt att behandla personuppgifter rörande bokningar där de själva ska tillhandahålla hela eller delar av resan. Den lagliga grunden för Operatörens behandling av personuppgifter för de ändamål som anges i punkt 4.5 är avtalet med Resenären och berättigat intresse samt för en myndighet allmänt intresse avseende Bokaren.
5.2 Delningen av personuppgifter kan ske via leverantörer av bokningssystem, stödsystem och gränssnitt, som på uppdrag av Återförsäljaren av resetjänster tillgängliggör information om den bokade resan och därmed erforderliga personuppgifter till de Operatörer som ska tillhandahålla hela eller delar av resan. Dessa leverantörer är personuppgiftsbiträden till både Återförsäljaren av resetjänster och Operatörerna.
5.3 Före resan
Mellan bokningstillfället och genomförande av resan kan följande kategorier av funktioner komma att behandla personuppgifter som finns associerade med en Bokad resa:
• Kundservice hos Återförsäljaren av resetjänsten och Operatörer som ska genomföra hela eller delar av resan,
• Personal hos de Operatörer som ska genomföra hela eller delar av resan och
• Operatörens leverantörer av bokningssystem och därmed förknippade stödsystem.
Ändamålet med den behandling som sker mellan bokningstillfället och genomförandet av resan är att kunna tillse att avtalade tjänster och produkter kan tillhandahållas till Resenären, besvara frågor från Resenären, kontakta Resenären innan resan för att kunna ge allmän information om resan eller för att kunna ge Resenären en annan resplan vid en förutsedd Trafikstörning.
5.4 Under resan
Under genomförande av resan kan följande kategorier av funktioner komma att behandla personuppgifter som finns associerade med en Bokad resa:
• Personal hos de Operatörer som genomför hela eller delar av resan,
• Operatörens leverantörer av bokningssystem och därmed förknippade stödsystem och
• Kundservice hos de Operatörer som genomför hela eller delar av resan.
Ändamålet med den behandling som sker under resan är att genomföra resan, kontrollera biljetter och kontakta resenären under en Trafikstörning. Vid en Trafikstörning under en pågående resa kan de olika Operatörerna också behöva behandla personuppgifter och överföra personuppgifter till andra Operatörer än de som från början var bokade för den aktuella resan för att Resenärerna ska nå den avtalade slutdestinationen på ett alternativt sätt samt, om behov finns, för att tillhandahålla kost och logi.
5.5 Efter resan
Efter genomförande av resa kan följande kategorier av funktioner komma att behandla personuppgifter som finns associerade med en Bokad resa:
• Kundservice hos de Återförsäljare som sålt resan och de Operatörer som genomfört hela eller delar av resan och
• Operatörens leverantörer av bokningssystem och därmed förknippade stödsystem.
Ändamålet med den behandling som sker efter genomförande av resa och som omfattas av denna uppförandekod är att hantera reklamationer och betala ut ersättning för försening.
6.1 I tillägg till vad som i övrigt anges i denna uppförandekod gäller följande avseende behandling av personuppgifter vid Ledsagning och tillhandahållande av Specialplats.
6.2 Insamling och behandling av personuppgifter och laglig grund för behandling
Vid en bokning av en resa kan uppgifter om en Resenärs funktionsnedsättningar behöva samlas in och behandlas om behov finns av Ledsagning. Detsamma kan gälla vid bokning av Specialplats om behov av sådan plats behöver intygas avseende Resenären.
Dessa personuppgifter kan behöva behandlas av bokande part och av dem som ska utföra Ledsagning både före, under och efter resan för att den avtalade resan ska kunna fullgöras med Resenären.
I den mån hälsouppgifter måste behandlas för att den avtalade resan ska kunna genomföras är den lagliga grunden för behandling av hälsouppgifter att denna behandling är nödvändig för att fullgöra en rättslig förpliktelse som åvilar Återförsäljarna, Operatörerna och den som ska utföra Ledsagning. Om behov finns av Ledsagning eller behov av Specialplats behöver intygas får relevanta hälsouppgifter behandlas eftersom behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse.
6.3 Ändamålet med behandlingen av de personuppgifter som samlas in
Vid bokning av Ledsagning registreras utöver nödvändiga uppgifter för genomförandet av resan vilken typ av funktionsnedsättning Resenären har för att den som ska utföra Ledsagningen ska kunna förbereda Ledsagningen och hjälpa Resenären på bästa sätt. Dessa uppgifter behandlas av Återförsäljaren av resetjänsten, de Operatörer som är ansvariga för genomförandet av hela eller delar av resan och de som ska utföra Ledsagning.
Vid bokning av Specialplats kan Resenärens funktionsnedsättning behöva behandlas om behov av sådan plats behöver intygas för att rätt typ av plats ska kunna bokas och för att hjälpa Resenären på bästa sätt.
6.4 Delning av personuppgifter
De personuppgifter som är nödvändiga för Ledsagning delas via leverantörer av bokningssystem och därmed förknippade stödsystem och gränssnitt med den som ska boka Ledsagning, tillhandahålla Stationsledsagning och den eller de Operatör/-er som är ansvariga för Ombordledsagning. De parter som är ansvariga för Stationsledsagning respektive Ombordledsagning är personuppgiftsansvariga för de personuppgiftsbehandlingar som de utför för att Ledsagning ska kunna genomföras.
De personuppgifter som är nödvändiga för utnyttjande av Specialplats delas med de Operatörer som är ansvariga för hela eller delar av resan och har behov av denna information.
Vid en Trafikstörning under en pågående resa kan uppgifter om behov av Ledsagning, Specialplats och funktionsnedsättning också behöva delas med de Operatörer som hanterar en Trafikstörning och övriga som medverkar till att Resenären kan nå sin slutdestination.
7.1 Information till den registrerade om bevaring och gallring av personuppgifter ska tillhandahållas av respektive Återförsäljare och Operatör.
7.2 Personuppgifterna och övrig information associerade med en Bokad resa sparas i bokningssystem och därmed förknippade stödsystem i minst sextio (60) dagar och högst trehundrasextiofem (365) dagar efter att samtliga resor i reseavtalet har eller skulle ha genomförts och gallras därefter i syfte att minimera mängden uppgifter som lagras. Detta påverkar inte Resenären från att göra sina rättigheter gällande gentemot Återförsäljare av resetjänster och Operatörer enligt gällande lag eller xxxxx.
7.3 Återförsäljare och Operatörer kan välja att behandla personuppgifter under en längre tid än vad som anges ovan och också för andra ändamål än de som regleras i denna uppförandekod. Om Återförsäljaren eller Operatören behandlar personuppgifter under längre tid än vad som anges ovan ska Återförsäljaren eller Operatören tillhandahålla information till den registrerade för vilka ändamål och med stöd av vilken laglig grund det i så fall sker.
8.1 Den part som vid varje givet tillfälle är personuppgiftsansvarig för den eller de personuppgifter som påverkas av en personuppgiftsincident är ansvarig för att bedöma hur allvarlig personuppgiftsincidenten är och hur den ska behandlas, det vill säga att bland annat rapportera och åtgärda personuppgiftsincidenten. De personuppgiftsansvariga har ingen rapporteringsskyldighet gentemot någon annan personuppgiftsansvarig för personuppgiftsincidenter.
8.2 Personuppgiftsbiträdens behandling av personuppgiftsincidenter ska finnas reglerat i de personuppgiftsbiträdesavtal som föreligger mellan respektive personuppgiftsansvarig och personuppgiftsbiträdet.
9.1 Ansvar
Återförsäljare och Operatörer som har tecknat återförsäljaravtal, partneravtal (SPA) eller ledsagningsavtal med Samtrafiken åtar sig att följa denna uppförandekod.
Det övergripande ansvaret för att denna uppförandekod iakttas har den Återförsäljare som bokat en resa och den eller de Operatörer som behandlar personuppgifterna för att hantera och genomföra den bokade resan. Dessa Återförsäljare och Operatörer ansvarar också för att informera Resenärer och Bokare om denna uppförandekod.
Ett personuppgiftsbiträde som behandlar personuppgifterna för de ändamål som denna uppförandekod reglerar, på uppdrag av någon som är personuppgiftsansvarig i enlighet med denna uppförandekod, har ansvar för att iaktta denna uppförandekod.
En personuppgiftsansvarig som lämnar ut personuppgifter till någon annan för att hantera och genomföra en Bokad resa är skyldig att lämna sådan information och även i övrigt vidta rimliga åtgärder för att denna uppförandekod ska kunna antas bli beaktad av den till vilken uppgifterna lämnas.
9.2 Uppföljning
Samtrafiken i Sverige AB ska ta emot synpunkter på uppförandekoden liksom önskemål om förändringar av uppförandekoden.
Samtrafiken i Sverige AB ska vara sammankallande och sekreterare för ett råd som ska hantera uppföljning av uppförandekoden. Rådet ska bestå av representanter för Återförsäljare, Operatörer och Resenärer. Svensk Kollektivtrafik, Resenärsforum, Svenska Resebyrå och arrangörsföreningen (SRF) och andra organisationer med motsvarande verksamhet ska inbjudas att delta i rådet. Samtrafiken i Sverige AB ska också bjuda in de Återförsäljare och Operatörer som hanterar flest Bokade resor i Sverige på årsbasis att delta i rådet.
Rådet sammankallas vid behov dock minst en (1) gång per år för att ta ställning till behov av förändringar i uppförandekoden samt för att diskutera synpunkter på uppförandekoden.
I de fall en person upplever att en Återförsäljare eller en Operatör inte följer uppförandekoden ska denne i första hand rapportera det till aktuell organisation för rättelse. Om inte parterna kan enas kan personen anmäla klagomål till Integritetsskyddsmyndigheten.