EUROPEISKA KOMMISSIONEN GENERALDIREKTORAT XV Inre marknad och finansiella tjänster Fri rörlighet för informationstjänster. Bolagsrätt och finansiell information. Fri rörlighet för information, datasäkerhet och internationella aspekter i anslutning härtill. XV D/5009/98 slutlig WP 10 Arbetsgrupp för skydd av enskilda med avseende på behandlingen av personuppgifter Rekommendation 1/98 om datoriserade bokningssystem för lufttrafikföretag antagen av arbetsgruppen den 28 april 1998
Rekommendation om datoriserade bokningssystem för lufttrafikföretag ARBETSGRUPPEN FÖR SKYDD AV ENSKILDA MED AVSEENDE PÅ BEHANDLINGEN AV PERSONUPPGIFTER inrättad genom Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 1, HAR UTFÄRDAT DENNA REKOMMENDATION med beaktande av artiklarna 29 och 30.3 i det direktivet, och med beaktande av sin arbetsordning, särskilt artiklarna 12 och 14 i denna. INLEDNING Enligt artikel 6.1 b i direktiv 95/46 skall medlemsstaterna föreskriva att personuppgifter kan "samlas in för särskilda, uttryckligt angivna och berättigade ändamål; senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål". Enligt punkt 1 e i samma artikel måste uppgifter "förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades". Enligt artikel 8 i direktivet skall medlemsstaterna förbjuda behandling av personuppgifter som avslöjar t.ex. ras eller etniskt ursprung, religiös övertygelse och hälsa. Avvikelser från denna princip tillåts av skäl som anges i artikel 8.2 och 8.3 och ett av dessa skäl är om den registrerade har lämnat sitt uttryckliga samtycke. Den registrerade har enligt direktivet särskilda rättigheter, bl.a. rätt att få information om hur personuppgifterna behandlas (artiklarna 10 och 11) och rätt till tillgång, rättelse och utplåning (artikel 12). Med tanke på de särskilda aspekterna i samband med bokning av flygbiljetter och kommissionens senare initiativ på detta område 2 beslutade arbetsgruppen att inrätta en speciell arbetsgrupp för datoriserade bokningssystem. Denna specialgrupp sammanträdde två gånger och beslutade sedan att lägga fram resultaten av sina diskussioner för arbetsgruppen inför antagandet av föreliggande rekommendation. 1 EGT L 281, 23.11.1995, s. 31. 2 Förslag till rådets förordning om ändring av rådets förordning (EEG) nr 2299/89 om en uppförandekod för datoriserade bokningssystem. KOM(97) 246 slutlig av den 9 juli 1997. - 2 -
MOTIVERING Lufttransportsektorn kännetecknas av en mycket avancerad användning av informationssystem. Databaser med personuppgifter används i många olika sammanhang, i synnerhet av flygbolag, resebyråer och i datoriserade bokningssystem. Många databaser (i synnerhet, men inte uteslutande, i de datoriserade bokningssystemen) finns utanför gemenskapen. Med tanke på luftfartens internationella karaktär är det i princip lämpligast med allmänna lösningar. Arbetsgruppen anser att följande frågor bör beaktas i första hand: 1. Information och rätt till tillgång Den övervägande majoriteten personuppgifter samlas in av resebyråer och lufttransportföretag. Av praktiska skäl, och utan att det påverkar tillämpningen av definitionen av registeransvarig enligt direktiv 95/46/EG, bör frågan om den registrerades rätt till tillgång till uppgifter därför i första hand gälla dessa parter. Vissa aspekter i samband med tillgången till uppgifter kan emellertid även regleras i direkt samband med de datoriserade bokningssystemen, och detta skulle kunna göras i det förslag till förordning som lagts fram av kommissionen och som gäller en uppförandekod för datoriserade bokningssystem. I uppförandekoden för datoriserade bokningssystem bekräftas passagerarnas rätt till information om uppgifter som databehandlas. Denna rätt bör stärkas genom att abonnenter (t.ex. resebyråer) och lufttrafikföretag omfattas. 2. Utplåning av uppgifter Det är önskvärt att man ser till att personuppgifter inte finns tillgängliga online i de datoriserade bokningssystemen så snart uppgifterna inte längre behövs för resan. Eftersom dessa uppgifter kan komma att behövas för att lösa en eventuell tvist och därför måste arkiveras under en viss tid, bör dessa enbart användas i detta syfte och därefter förstöras. Detta påverkar inte möjligheten för abonnenter och lufttrafikföretag att låta passagerare som reser ofta ge sitt samtycke till att deras uppgifter behandlas i enlighet med direktiv 95/46/EG. SLUTSATSER Med beaktande av ovanstående rekommenderar arbetsgruppen att förslaget till förordning om ändring av rådets förordning 2299/89 om en uppförandekod för datoriserade bokningssystem kompletteras med följande: - 3 -
En klar skyldighet att informera konsumenten om att personuppgifter behandlas i datoriserade bokningssystem. Denna information som exempelvis kan ges i standardiserade informationsblad bör omfatta systemleverantörens namn och adress, ändamålen med behandlingen, hur länge uppgifterna bevaras och hur den registrerade skall gå till väga för att tillämpa den sin rätt till tillgång till uppgifterna. Skyldighet för abonnenter (t.ex. resebyråer) och lufttrafikföretag att erhålla de registrerades uttryckliga samtycke till att få samla in känsliga uppgifter (dvs. uppgifter om funktionshinder, måltider för muslimer osv.). Om det via de datoriserade bokningssystemen finns möjlighet att göra omedelbara, bekräftade bokningar bör denna skyldighet gälla systemleverantören 3. Skyldighet för ovannämnda parter att omgående svara på en begäran från en passagerare som vill få tillgång till sina personuppgifter. Krav på datoriserade bokningssystem att se till att alla personuppgifter som identifierats arkiveras offline inom 72 timmar efter det att ifrågavarande resa har avslutats 4 samt att dessa utplånas inom 3 år. Tillgång till sådana uppgifter skall bara vara tillåten för att lösa en eventuell tvist. Trots skyldigheten att förstöra uppgifterna inom 3 år kan personuppgifter i särskilda fall få bevaras under en tid som är längre än så, om och så länge dessa behövs för att lösa en skadeståndstvist eller så länge dessa behövs för att uppfylla krav i gällande lagstiftning (t.ex. på områden som redovisning och beskattning). Ett krav på att lämpliga ändringar görs för att utöka räckvidden av den kontroll som krävs enligt artikel 21a. Vidare bör uppmärksamhet särskilt ägnas de speciella problem som uppkommer vid bokningar on-line som inte omfattas av datoriserade bokningssystem (t.ex. resebyråer eller lufttrafikföretag som erbjuder omedelbara, bekräftade bokningar via Internet), och förslag till lämpliga lösningar bör läggas fram av kommissionen snarast möjligt. I detta hänseende anmodas kommissionen att klargöra om denna fråga omfattas av direktiv 97/66/EG 5 och i vilken utsträckning. Denna rekommendation, antagen av arbetsgruppen den......, riktar sig till Europeiska kommissionen, Europaparlamentet, Europeiska unionens råd och till Ekonomiska och sociala kommitten. 3 Enligt definitionen i ovannämnda uppförandekod är en systemleverantör "varje företag och dess filialer som har ansvaret för driften eller marknadsföringen av ett datoriserat bokningssystem". 4 Som redan nämnts i motiveringen påverkas inte abonnenternas och lufttrafikföretagens rätt att behandla känsliga uppgifter i de egna datasystemen om passagerare som reser ofta, förutsatt att den registrerade har givit sitt uttryckliga samtycke. 5 Europaparlamentets och rådets direktiv 97/66/EG av den 15 december 1997 om behandling av personuppgifter och skydd för privatlivet inom telekommunikationsområdet (EGT L 24, 30.1.1998, s. 1). - 4 -
Utfärdad i Bryssel den 28 april 1998. På arbetsgruppens vägnar P.J. HUSTINX Ordförande - 5 -