PUL och överlåtelse av kundregister
Jag driver ihop med några andra ett UF-företag på gymnasiet (likställs juridiskt sett med ett "enkelt bolag"). Vår försäljningsperiod är nu slut och vi har blivit kontaktade av ett riktigt företag som bedriver liknande verksamhet, och som önskar att köpa vårt kundregister. Vi undrar om det är lagligt att vi säljer registret, enligt PUL osv? Vi har nämligen inte bett kunderna om något godkännande för detta. Alternativt, är det lagligt att vi säljer hela vårt företag, och att kundregistret då ingår?
Lawline svarar
Hej och tack för att du vänder dig till Lawline med din fråga.
Personuppgiftslagen gäller för all typ av insamling av personuppgifter som är helt eller delvis automatiserad (5 § PUL). PUL är alltså främst tillämplig för datoriserad personuppgiftsbehandling, men kan även bli tillämplig vid manuell pappersbaserad uppgiftsbehandling. I 3 § exemplifieras vad som avses med behandling av personuppgifter; varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vara sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering m.m. Rent privat behandling av personuppgifter omfattas däremot inte utav lagen (6 §). Den grundläggande regeln i PUL är att personuppgifter endast får behandlas med samtycke från den personen som uppgifterna rör (10 §, se även 15 §). Den registrerade har när som helst rätt att återkalla sitt samtycke (12 §).
Ni har inte alls erhålligt något samtycke enligt PUL i er verksamhet. Man får behandla personuppgifter i ett kundregister utan den registrerades samtycke om det är nödvändigt för att kunna fullgöra ett avtal med den registrerade eller för att kunna utföra något som personen har begärt. Samma gäller för personer som har bett att fortlöpande få information samt kontaktpersoner hos kundföretag och leverantörer.
Någon information om hur personuppgifter kommer att behandlas behövs inte så länge uppgifter enbart används för normal kundadministration som kunden kan förvänta sig. Däri ingår till exempel att skicka reklam till kunder som företaget har ett etablerat kundförhållande med. Om man vill behandla uppgifterna för andra ändamål än kunderna antas känna till måste kunderna informeras om detta.
Vad gäller vid överlåtelse av kundregister och av verksamheten?
Så länge ändamålet med personuppgiftsbehandlingen hos den nya ägaren är detsamma som hos den tidigare ägaren är en sådan överföring av kundregister tillåten. För att kunna tillvarata sina rättigheter även efter övergången måste emellertid kunderna informeras om vem som är ny personuppgiftsansvarig. Om den nya ägaren har för avsikt att använda kundregistret för något annat blir det fråga om en ny personuppgiftsbehandling, då måste man alltså samla in samtycken igen från de som lämnat sina uppgifter.
Vänligen,
