Tack Mats för att du tar i detta slappa otyg av regionerna! Vad menar du med att det blev rättat? Har de tagit bort kravet på mobilnummer vid kundtjänstkontakt nu? Jag ska uppdatera mig på hur det gått med din kontakt med Skånetrafiken också. De gör ju ett ännu värre brott enligt mig. Kräva mobilnummer för att ens få resa kollektivt! (om man inte förbeställer en biljett till sin postlåda med 7 dagars leveranstid, senast jag kollade). Ulrika Den lördag 3 oktober 2026 kl. 15:45 skrev Mats Karlsson via Listan <listan@lists.dfri.se>:
Ibland kan det vara bra att ifrågasätta. Det blev rättat samma dag som svaret kom.
/Mats
---------- Forwarded message --------- From: Dataskyddsombudet <dataskyddsombudet_ext@sl.se> Date: Mon, Sep 28, 2026 at 9:54 AM Subject: Sv: Obligatoriskt mobilnummer vid klagomål – begäran om rättslig grund, nödvändighet och DPIA enligt GDPR To: Mats Karlsson <mats.n.karlsson@gmail.com>
Hej!
Tack för att du har kontaktat mig med dina frågor. Jag återkommer när jag har hunnit titta närmare på dem.
Med vänlig hälsning,
Johanna Wallerström
Dataskyddsombud
IT-avdelningen
Strategi och Styrning
Region Stockholm Trafikförvaltningen 105 73 Stockholm Lindahagensgatan 100 Telefon: 08-123 316 00 Fax: 08-123 316 06 [www.regionstockholm.se](http://www.regionstockholm.se/)
Trafikförvaltningen stödjer Trafiknämnden inklusive Färdtjänst och Spårvägsmuseet, AB Storstockholms Lokaltrafik och Waxholms Ångfartygs AB
Från: Mats Karlsson <mats.n.karlsson@gmail.com> Skickat: den 25 september 2026 20:43 Till: Dataskyddsombudet <dataskyddsombudet_ext@sl.se> Ämne: Obligatoriskt mobilnummer vid klagomål – begäran om rättslig grund, nödvändighet och DPIA enligt GDPR
Till SL dataskyddsombud,
Jag vill få klarhet i SL behandling av personuppgifter i samband med att en person lämnar ett klagomål eller en synpunkt via SL webbformulär.
I det aktuella formuläret krävs mobiltelefonnummer när jag väljer att få återkoppling via e-post. Om jag i stället väljer att få återkoppling via vanlig post krävs inte något mobiltelefonnummer.
Jag ifrågasätter inte att SL i vissa situationer kan ha ett legitimt behov av att behandla ett telefonnummer. Min fråga gäller varför telefonnumret är nödvändigt i just denna situation och varför uppgiften måste vara obligatorisk.
Om återkopplingen ska ske via e-post finns redan en e-postadress som kan användas för återkopplingen. Jag har därför svårt att se vilket ytterligare ändamål som kräver att ett mobiltelefonnummer samlas in och görs till ett villkor för att kunna lämna klagomålet och få återkoppling via e-post.
Jag begär därför att SL redovisar följande:
1. Ändamålet med behandlingen
Vilket eller vilka konkreta ändamål behandlas mobiltelefonnumret för när en person lämnar ett klagomål och väljer återkoppling via e-post?
2. Rättslig grund enligt artikel 6 GDPR
Vilken rättslig grund enligt artikel 6 GDPR åberopar SL för behandlingen av mobiltelefonnumret i denna situation?
Om SL åberopar artikel 6.1 e GDPR, vill jag även få en redogörelse för vilken uppgift av allmänt intresse eller vilken myndighetsutövning som gör behandlingen av just mobiltelefonnumret nödvändig.
3. Uppgiftsminimering enligt artikel 5.1 c GDPR
Hur har SL bedömt kravet på mobiltelefonnummer mot principen om uppgiftsminimering i artikel 5.1 c GDPR?
Jag vill särskilt veta varför en e-postadress inte anses vara tillräcklig när den uttryckligen valts som kanal för återkoppling.
Hur har SL bedömt att insamlingen av mobiltelefonnumret är nödvändig, och inte endast praktiskt användbar eller önskvärd, för det angivna ändamålet?
4. Skillnaden mellan e-post och vanlig post
Varför krävs mobiltelefonnummer när återkoppling ska ske via e-post, medan samma uppgift inte krävs när återkoppling ska ske via vanlig post?
Vilken konkret skillnad i behandlingen av själva klagomålsärendet motiverar denna skillnad?
5. Varför är mobiltelefonnumret obligatoriskt?
Jag vill särskilt ifrågasätta att mobiltelefonnumret är ett obligatoriskt fält och inte en frivillig kontaktuppgift.
Om SL anser att det finns ett legitimt ändamål för att behandla mobiltelefonnumret, varför kan uppgiften då inte lämnas frivilligt av den registrerade?
Vilken konkret behandling eller funktion förutsätter att mobiltelefonnumret lämnas, och varför kan denna funktion inte tillhandahållas utan att mobiltelefonnumret görs till ett villkor för att kunna lämna klagomålet och få återkoppling via e-post?
Om SL anser att mobiltelefonnumret är nödvändigt, innebär detta att en person som inte vill lämna sitt mobiltelefonnummer inte kan lämna ett klagomål via webbformuläret och få återkoppling via e-post?
Om svaret är ja, vilken rättslig och dataskyddsmässig bedömning ligger till grund för att tillgången till denna kommunikationskanal görs beroende av att ytterligare en personuppgift lämnas?
6. Information enligt artikel 13 GDPR
Var i den information som lämnas till den registrerade enligt artikel 13 GDPR framgår att mobiltelefonnummer är obligatoriskt för denna behandling, vilket ändamål uppgiften har och vilken rättslig grund som åberopas?
Om detta inte framgår tydligt av den information som lämnas i samband med formuläret, vill jag veta var SL anser att den registrerade får denna information.
7. Inbyggt dataskydd enligt artikel 25 GDPR
Har SL gjort en bedömning enligt artikel 25 GDPR av om det är möjligt att utforma formuläret så att endast de personuppgifter som faktiskt är nödvändiga för den valda återkopplingskanalen samlas in?
Har SL särskilt övervägt en utformning där mobiltelefonnumret är frivilligt när återkoppling sker via e-post?
Om en sådan bedömning har gjorts önskar jag få ta del av resultatet eller åtminstone den del som rör det obligatoriska mobiltelefonnumret och valet att göra fältet obligatoriskt.
8. Konsekvensbedömning enligt artikel 35 GDPR
Har SL genomfört en konsekvensbedömning avseende dataskydd (DPIA) enligt artikel 35 GDPR för den behandling av personuppgifter som sker genom kundtjänstformuläret, inklusive kravet på obligatoriskt mobiltelefonnummer?
Om en sådan konsekvensbedömning har genomförts begär jag att få ta del av den, alternativt de delar av konsekvensbedömningen som avser insamling och behandling av telefonnummer.
Om SL har bedömt att någon konsekvensbedömning enligt artikel 35 GDPR inte behöver genomföras, önskar jag få veta på vilka grunder SL har gjort den bedömningen.
Jag önskar även, om en sådan bedömning finns dokumenterad, få ta del av det dokumenterade underlag som ligger till grund för bedömningen att behandlingen inte medför sådan hög risk för fysiska personers rättigheter och friheter att en DPIA krävs.
Jag noterar särskilt att SL publicerade integritetsinformation anger att telefonnummer behandlas "i vissa fall", medan e-postadress och postadress anges bland de personuppgifter som SL normalt behandlar. Mot den bakgrunden önskar jag en konkret förklaring till varför telefonnumret är obligatoriskt i just denna situation.
Jag vill också understryka att min fråga inte gäller huruvida SL tekniskt sett kan samla in ett telefonnummer, utan huruvida det är nödvändigt och proportionerligt att kräva uppgiften som villkor för att kunna lämna ett klagomål och få svaret via e-post.
Jag önskar därför ett svar som anger den konkreta rättsliga grunden, ändamålet och nödvändigheten av behandlingen, snarare än en generell hänvisning till SL integritetspolicy eller till att uppgiften efterfrågas av kundtjänstens system.
Med vänlig hälsning,
Mats Karlsson
--
Med vänliga hälsningar Mats
+46 76 341 81 83 matsk.wordpress.com