Positionsdata om en förare är en personuppgift
En position i sig är en koordinat. Kopplad till ett registreringsnummer och en förare blir den en uppgift om en identifierbar person. Då gäller dataskyddsförordningen fullt ut.
Tillsynsmyndighet i Sverige är Integritetsskyddsmyndigheten, IMY. IMY publicerar vägledningen om hur arbetsgivare får använda platstjänster (GPS) och sidan om kontroll och övervakning av anställda. Båda finns på imy.se.
Frågan är alltså inte om ni får samla in positionsdata. Frågan är på vilken grund, i vilken omfattning och med vilken information till personalen.
Rättslig grund: berättigat intresse, inte samtycke
All behandling kräver en rättslig grund enligt artikel 6 i dataskyddsförordningen. För körjournal och fordonspositionering är berättigat intresse den grund som normalt används. Artikel 6.1 f tillåter behandling som är nödvändig ”för att tillgodose berättigade intressen som förföljs av den personuppgiftsansvarige eller en tredje part”.
Berättigat intresse kräver en intresseavvägning. Ert intresse ska väga tyngre än den anställdes intresse av skydd för sin integritet. Avvägningen ska göras innan enheterna monteras och den ska dokumenteras.
Samtycke är en svag grund i ett anställningsförhållande. Skäl 43 i dataskyddsförordningen anger att ”samtycke inte utgör giltig rättslig grund för behandling när det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige”. En anställd står i beroendeställning till sin arbetsgivare. Ett samtycke som lämnas för att behålla jobbet är inte frivilligt.
Samtycke har ett andra problem. Artikel 7.3 ger den registrerade rätt att ”när som helst återkalla sitt samtycke”. Om tio av tolv förare återkallar sitt samtycke står ni utan körjournal för tio bilar mitt under året. Berättigat intresse har inte den svagheten.
Proportionalitet avgör hur mycket ni får samla in
Ändamålet styr omfattningen. Artikel 5.1 c kräver att personuppgifterna är ”adekvata, relevanta och begränsade till vad som är nödvändigt för ändamålen”.
Ett godtagbart ändamål är underlag för körjournal och milersättning. Ett annat är stöldskydd. Ett tredje är att fördela arbetsorder mellan fordon som är i drift.
Underlag till Skatteverket kräver de sex uppgifter myndigheten efterfrågar per resa. Det kräver inte att en chef följer bilens position i realtid.
Tillsynsmyndigheten har uttalat att positionering normalt inte får användas för att rutinmässigt kontrollera de anställdas arbetstid. Uttalandet gjordes under personuppgiftslagen. Kravet på proportionalitet är detsamma i dataskyddsförordningen.
Ändamålsglidning är den vanligaste bristen. Data som samlas in för körjournal används sedan för att kontrollera raster. Det är en ny behandling och den kräver en ny bedömning.
Informationsplikten gäller före första resan
Artikel 13 kräver att ni informerar de registrerade när uppgifterna samlas in. Informationen ska lämnas innan systemet tas i drift, inte i efterhand.
Informationen ska ange vem som är personuppgiftsansvarig, ändamålen och den rättsliga grunden. Den ska också ange vilka som får se uppgifterna, hur länge de sparas och vilka rättigheter den anställde har.
Skriv informationen så att en förare förstår den på fem minuter. Lämna den skriftligt. Behåll ett daterat exemplar.
Facklig samverkan är en separat fråga. Kontrollåtgärder kan omfattas av förhandlingsskyldighet enligt medbestämmandelagen. Kontrollera vad ert kollektivavtal säger innan ni beslutar.
Behövs en konsekvensbedömning?
Artikel 35.1 kräver en konsekvensbedömning när en behandling ”sannolikt kan innebära en hög risk för fysiska personers rättigheter och friheter”.
IMY publicerar riktlinjerna med nio kriterier för hög risk. Systematisk övervakning är ett av de nio. Behandling av uppgifter om personer i beroendeställning är ett annat.
IMY:s praktiska guide anger huvudregeln. ”Som huvudregel ska en konsekvensbedömning genomföras om den planerade personuppgiftsbehandlingen uppfyller minst två av de nio kriterierna.”
GPS-positionering av anställdas fordon uppfyller kriteriet systematisk övervakning. Är ytterligare ett kriterium uppfyllt talar huvudregeln för att en konsekvensbedömning ska göras. Bedömningen är er, inte leverantörens.
Vi rekommenderar att ni gör bedömningen och dokumenterar den. Kostnaden är några timmars arbete. Att sakna den när IMY frågar blir dyrare.
Vad ni ska dokumentera
Fem dokument bör finnas innan första enheten monteras.
Intresseavvägningen. Ändamålen, varför positionsdata behövs och varför ett mindre ingripande alternativ inte räcker.
Informationen till personalen. Daterad och skriftlig.
Registerförteckningen. Artikel 30.1 kräver register ”över behandling som sker under deras ansvar”. För in fordonspositionering där.
Personuppgiftsbiträdesavtal. Vi tecknar ett sådant avtal med alla kunder.
Gallringsregler. Hur länge positionsdata sparas och varför just den tiden.
Utanför arbetstid och på privata resor
Här går den skarpaste gränsen. Positionering av en anställd på fritiden är sällan proportionerlig. Ändamålet körjournal kräver inte att ni ser var bilen står klockan 22 på en lördag.
Får bilen användas privat måste privata resor gå att hålla åtskilda. Cartracker har ett privatläge. Föraren markerar resan som privat och positionen döljs. Antalet mil räknas fortfarande, eftersom 100-milsgränsen bygger på antal mil och antal tillfällen.
Det ger er underlaget Skatteverket behöver utan att ni ser var föraren var på söndagen.
Positionsdata lagras inom EU. Det tar bort frågan om överföring till tredjeland ur er intresseavvägning.
Checklista innan ni monterar enheter
- Bestäm ändamålen och skriv ner dem. Ett ändamål per rad.
- Gör intresseavvägningen och dokumentera den.
- Bedöm behovet av konsekvensbedömning mot de nio kriterierna.
- Bestäm vilka roller som får se vilka uppgifter. Begränsa realtidsvyn.
- Bestäm lagringstid och gallring.
- Informera personalen skriftligt enligt artikel 13.
- Kontrollera förhandlingsskyldigheten enligt kollektivavtalet.
- Teckna personuppgiftsbiträdesavtal med leverantören.
- Aktivera privatläge innan första resan.
- För in behandlingen i registerförteckningen.
Vanliga frågor
Måste vi ha de anställdas samtycke för att montera GPS i tjänstebilar?
Får vi se var bilen befinner sig i realtid?
Får vi spåra bilen utanför arbetstid?
Krävs en konsekvensbedömning enligt artikel 35?
Vad händer om vi inte informerar personalen?
Så gör ni det rätt från början
Positionering av tjänstebilar är tillåten när ändamålet är tydligt, omfattningen begränsad och personalen informerad. Det som fäller arbetsgivare är sällan tekniken. Det är den uteblivna intresseavvägningen och den uteblivna informationen.
Vi döljer privata resor och begränsar behörigheter per roll. Se hur det fungerar på vår sida om GPS-spårning.