Program för resebyråer och GDPR: är det säkert att spara kunders passuppgifter?

Kort svar: det kan det vara, om du bara sparar de passuppgifter som en bokning behöver, raderar dem på ett datum du själv bestämmer och använder en leverantör som tecknar ett personuppgiftsbiträdesavtal, talar om var uppgifterna lagras och förklarar hur den raderar dem. GDPR gör att din byrå är ansvarig för uppgifterna även när ett program lagrar dem, och de flesta reseplaneringsverktyg publicerar en del av den här informationen men få publicerar allt.

En kunds pass är en av de handlingar en resebyrå har hand om. Därför går den här guiden först igenom reglerna på vanlig svenska, sedan vad nio verktyg säger på sina egna sidor och slutligen de frågor du bör ställa innan du laddar upp något i ett program för resebyråer. Huvudpunkterna ovan ger sammanfattningen, och avsnitten nedan ger reglerna och underlaget. Det är en checklista, inte juridisk rådgivning.

Vad kräver GDPR av en byrå som sparar en kunds pass?

Den kräver tre saker av dig: ha ett giltigt skäl, samla bara in det du behöver och spara det bara så länge du behöver det. Europeiska dataskyddsstyrelsens (EDPB) guide för småföretag säger att en organisation bara får behandla personuppgifter som är ”nödvändiga och proportionerliga” för ändamålet, och att lagringen ”måste vara tidsbegränsad” (EDPB, grunderna i dataskydd).

Det är principerna i artikel 5 i GDPR, där uppgiftsminimering är punkt 5.1 c och lagringsminimering är punkt 5.1 e. Italiens dataskyddsmyndighet räknar upp samma principer, tillsammans med laglighet, korrekthet och öppenhet, i sin förtydligande not om identitetshandlingar, som den hänvisar till tillsammans med ett pressmeddelande från den 29 april 2026. Skriv i praktiken ned för varje handling varför du har den, vilken leverantör som behöver den och när den ska raderas.

Vem ansvarar för uppgifterna, du eller programleverantören?

Du. En byrå som avgör varför och hur kunduppgifter används är personuppgiftsansvarig, och EDPB:s guide säger att ett litet företag i den positionen är personuppgiftsansvarigt (EDPB:s vanliga frågor). Europeiska kommissionen beskriver personuppgiftsbiträdet som den part som ”behandlar personuppgifter endast på den personuppgiftsansvariges vägnar” (Europeiska kommissionen), vilket är vad ett reseplaneringsverktyg som lagrar dina kunders uppgifter gör.

Personuppgiftsansvarig är den person eller organisation som avgör varför och hur personuppgifter används, och personuppgiftsbiträde är den som behandlar dem på den ansvariges vägnar. Ett personuppgiftsbiträdesavtal (DPA) är det skriftliga avtalet mellan dem. EDPB säger att förhållandet ”måste regleras av ett avtal” som dokumenterar behandlingen, och dess vanliga frågor, länkade ovan, kallar ett giltigt avtal ”obligatoriskt”. Artikel 28 i GDPR lägger till att biträdet bara agerar enligt dina dokumenterade instruktioner, att det raderar eller återlämnar uppgifterna när tjänsten upphör och att avtalet är skriftligt, även i elektronisk form.

Hur mycket av ett pass behöver du spara?

Ofta mindre än en kopia. Den spanska dataskyddsmyndigheten (Agencia Española de Protección de Datos, AEPD) sa i juni 2025 att det strider mot uppgiftsminimeringen i artikel 5.1 c att begära en kopia av ett nationellt id-kort eller pass vid ett boende (AEPD:s not, pdf). Italiens Garante per la protezione dei dati personali sa i april 2026 att hotell måste radera kopior av gästers handlingar när uppgifterna har skickats till de myndigheter som ansvarar för allmän säkerhet, och bara spara kvittot på överföringen (Garantes pressmeddelande).

Båda uttalandena gäller boendeleverantörer, inte resebyråer, och ingen av dem nämner resebyråer. Ingen officiell vägledning skriven för resebyråer dök upp i de listade källorna. Principen kommer dock från samma artikel i GDPR, så fråga vad varje bokning kräver: ett namn så som det står i passet, ett nummer och ett utgångsdatum är inte detsamma som en skanning. Om du bara behöver kontrollera datum frågar passgiltighetskontrollen bara efter utgångsdatumet och resedatumen.

Hur länge får du spara en passkopia efter resan?

Ingen källa vi kontrollerade anger en fast tid. EDPB uppmanar småföretag att ”radera personers personuppgifter när de inte längre behövs” och noterar att nationell lag kan förplikta dig att spara vissa uppgifter, till exempel ”av skatteskäl” (samma EDPB-guide). Lagringstiden är din att bestämma och försvara.

En fungerande regel är att radera passkopior en kort, fast tid efter att resan slutat och bara spara de datum och nummer som en leverantör eller en rättslig skyldighet fortfarande kräver. Spara inte kopior ”utifall att kunden reser igen”, eftersom det bara tar ett meddelande att fråga kunden på nytt. Kontrollera också att ditt program kan driva regeln åt dig: ett verktyg där du bara kan radera ett dokument för hand förutsätter att någon kommer ihåg det, medan ett verktyg som raderar automatiskt efter resan inte gör det.

Vad måste programmet göra för att skydda passuppgifter, och vad händer vid en incident?

Det måste tillämpa säkerhet som är ”lämplig i förhållande till risken”, och det måste du också. Artikel 32 i GDPR lägger den skyldigheten på både den personuppgiftsansvarige och biträdet (EDPB, skydda personuppgifter). Artikel 33 ger dig, som personuppgiftsansvarig, 72 timmar efter att du fått kännedom om en incident att anmäla den till tillsynsmyndigheten, om den inte sannolikt leder till en risk för enskilda, och du måste dokumentera varje incident (EDPB, personuppgiftsincidenter).

Enligt artikel 33.2 måste ett biträde underrätta den ansvarige ”utan onödigt dröjsmål”, men dina 72 timmar löper ändå från den stund du får kännedom. Leverantörens snabbhet spelar alltså roll: leta efter en angiven tidsfrist i dess personuppgiftsbiträdesavtal eller på dess säkerhetssida.

Vad publicerar nio reseplaneringsverktyg om kunduppgifter?

På sina egna offentliga sidor publicerade ett av nio verktyg alla fem punkter vi räknade: TravelJoy. Åtta angav var uppgifterna lagras, men bara tre angav en plats i Europa. Fyra erbjöd kunderna ett personuppgiftsbiträdesavtal, fyra listade underbiträden vid namn, sju förklarade hur dokument raderas eller sparas och sju beskrev minst en säkerhetsåtgärd.

Så läser du tabellen: ett streck betyder att inget uttalande hittades på de sidor vi öppnade, inte att leverantören inte gör det.

Hur räknade vi, och vilka är begränsningarna?

Vi räknade den 11 oktober 2026 med regler som skrevs innan vi öppnade sidorna; två gränsfall förklaras nedan. Ett verktyg får bara en poäng om en sida på dess egen domän säger det:

1. Plats: anger landet eller regionen där kunduppgifter lagras.
2. DPA: säger att ett personuppgiftsbiträdesavtal finns tillgängligt för kunder, eller publicerar ett.
3. Underbiträden: anger namnen på de leverantörer som behandlar uppgifter för dess räkning.
4. Radering: säger hur länge kunddokument sparas eller hur man raderar dem.
5. Säkerhet: beskriver minst en konkret åtgärd, till exempel kryptering eller tvåfaktorsautentisering.

Vamoos punkt om underbiträden är den svagaste: en rad i integritetspolicyn som nämner tre tredjepartstjänster. Wetus villkor (version 1, avsnitt 14) innehåller en biträdesklausul enligt artikel 28, så vi räknade dem som ett DPA. Dess enda konkreta säkerhetsuttalande finns i DPA:t för en separat produkt, Wetu Analytics, så den punkten räknade vi inte. På mTrips sida om underbiträden står att dess DPA med OpenAI finns på begäran. Det är ett avtal med ett underbiträde, så vi räknade det inte som ett DPA som erbjuds kunder. Om vi hade räknat det hade summan för DPA gått från 4 till 5.

Begränsningarna i sammanställningen: den läser offentliga sidor en enda dag, inte avtal eller säkerhetspraxis. En leverantör kan erbjuda ett DPA på begäran som den inte marknadsför. Vi gör Viaondo, som inte ingår bland de nio, och vi kontrollerade det mot våra egna juridiska sidor: det uppfyller alla fem (se nedan).

Vilka frågor bör du ställa till en leverantör innan du laddar upp ett pass?

Ställ åtta och förvänta dig ett skriftligt svar på var och en. Ingen av de nio leverantörssidor vi läste förklarar för små byråer hur man bedömer en leverantör, så den här listan är vår egen, byggd på GDPR-punkterna ovan.

1. Var lagras kunduppgifter? Be om landet, och fråga om support eller AI-funktioner behandlar dem någon annanstans.
2. Kan jag teckna ett DPA? Det ska säga att leverantören bara agerar enligt dina instruktioner och raderar eller återlämnar uppgifterna när tjänsten upphör.
3. Vilka är underbiträdena? En lista med namn, med deras platser och hur ändringar meddelas.
4. Hur raderas dokument? Automatiskt efter resan eller för hand? Kan du radera en enskild kunds akt?
5. Vilken säkerhet tillämpas? Kryptering under överföring, åtkomst begränsad per byrå, länkar som kan återkallas.
6. Hur snabbt informerar ni mig om en incident? Ett antal timmar, skriftligt.
7. Vad händer när jag säger upp avtalet? Export och radering, med en tidsfrist.
8. Läser AI mina dokument? Vilken leverantör, var den körs och om den sparar dokumenten.

Samma råd gäller sättet kunderna skickar handlingar till dig: en passkanning som skickas med vanlig e-post eller ett chattmeddelande ligger i flera inkorgar som du inte kontrollerar. Enligt artikel 32 måste din säkerhet motsvara risken, och en identitetshandling är ett värdefullt mål, så använd programmets uppladdningsformulär eller säkra länk när det finns.

Vad publicerar Viaondo, och var brister det?

Vi gör Viaondo, så kontrollera våra uppgifter på de sidor vi länkar till. Viaondos DPA är ett personuppgiftsbiträdesavtal enligt artikel 28 i GDPR, ingår i abonnemanget på prissidan. Dess lista över underbiträden anger Cloudflare (drift av applikationen på dess globala nätverk samt databas och privat fillagring med jurisdiktion inom Europeiska unionen), NaN (AI-funktioner, Europeiska unionen) och Stripe (endast fakturering).

När det gäller pass säger integritetspolicyn att passkopior och andra resehandlingar raderas 30 dagar efter att resan har slutat. DPA:t förpliktar Viaondo att informera dig om en incident utan onödigt dröjsmål och, där det är möjligt, inom 72 timmar. Det anger sina säkerhetsåtgärder, bland annat privat fillagring utan offentliga adresser, reselänkar med 256 slumpmässiga bitar där bara en hash sparas, och länkar som du kan återkalla.

Begränsningarna väger lika tungt. Stripe kan överföra faktureringsuppgifter till USA, och tre Cloudflare-tjänster (själva applikationen, e-postleverans och botkontrollen vid inloggning) körs på dess globala nätverk. Appen kan inte radera en kopia som en resenär redan har sparat offline förrän telefonen nästa gång ansluter, och DPA:t säger att tjänsten inte är utformad för särskilda kategorier av personuppgifter, till exempel hälsouppgifter. Regeln ”30 dagar efter resan” är dessutom Viaondos egen och behöver inte vara din, så kontrollera den mot den lagringstid du har bestämt. Se hur dokument fungerar i resenärsappen och, om du arbetar ensam, läs sidan för fristående reserådgivare.

Så har den här guiden kontrollerats

Varje regel kommer från EUR-Lex, EDPB, Europeiska kommissionen, AEPD eller Garante, och varje uppgift om en leverantör från leverantörens egna sidor, alla öppnade den 11 oktober 2026. Varje regel och varje leverantörsuppgift kontrollerades mot de källorna den 11 oktober 2026, i en redaktionell faktakontroll per påstående. Det här är allmän information, inte juridisk rådgivning. Om du hittar ett föråldrat påstående, kontakta oss, och du kan läsa mer om oss på sidan Om oss. För det bredare valet av verktyg, se jämförelsen av tio reseplaneringsverktyg.