Tänk dig att du, som skyddsombud, fick veta att ett utländskt underrättelseorgan hade tillgång till varje sekunds kördata om dina kollegor – deras rutter, paustider, körhastigheter och exakta position dygnet runt. Du skulle kräva svar. Du skulle begära ett MBL-möte. Du skulle agera omedelbart. Nu är det dags – för det scenariot är inte hypotetiskt. Det är verkligheten för tusentals svenska transportarbetare i dag.

Varje modernt transportplaneringssystem – ett TMS – är en maskin för personuppgifter. GPS-positioner loggas sekund för sekund, körtider registreras minutiöst, prestationer mäts och beteendemönster kartläggs. Det är nödvändig teknik och den är i sig varken god eller ond. Men frågan som varken fackliga representanter eller arbetsgivare ställt sig är: var tar all den här datan vägen?

Den juridiska fällan som ingen pratade om

Det svenska dataskyddet är starkt på papper. GDPR, MBL, kollektivavtal och Datainspektionens regler skapar tillsammans ett skyddsnät som arbetsgivare är skyldiga att respektera. Men det skyddsnätet har ett hål som är precis lagom stort för en transatlantisk datakabel.

En amerikansk domstol – en s.k. FISA-domstol – kan utfärda ett hemligt beslut som tvingar ett amerikanskt molnbolag att lämna ut data om sina kunder. Bolaget får inte berätta om det. Kunden vet ingenting. Den anställde vet ingenting. Och beslutet gäller data om utländska medborgare – det vill säga precis dig, dina kollegor och de chaufförer du företräder.

Palantir-fallet: Inte teori – verklighet

Att detta inte är en abstrakt risk bekräftades på ett brutalt sätt i maj 2026. Interna dokument avslöjade att Palantir Technologies – ett av världens ledande bolag för underrättelsemjukvara, med djupa band till NSA och CIA – hade getts i princip obegränsad tillgång till känsliga personuppgifter för över 50 miljoner brittiska medborgare i det nationella hälsovårdssystemet NHS.

Transportdata är inte patientdata – men principen är identisk. Chaufförernas GPS-historik är lika känslig som vilken annan beteendeprofil som helst. Den avslöjar var en person bor, vilka terminaler de besöker, när de tar pauser och hur deras arbetsvecka ser ut. I underrättelsesammanhang är det guld.

Vad brotten innebär i praktiken

Konsekvenserna träffar inte bara integriteten. En arbetsgivare som – oavsett om han eller hon visste om det – lämnat ifrån sig kontrollen över sina anställdas personuppgifter till utländsk myndighet har brutit mot GDPR Art. 5 om integritetsprincip och Art. 44–46 om tredjelandsöverföring. Det är en sanktionsgrundande överträdelse. Och skyddsombudet som inte kände till IT-arkitekturen kan inte heller ha sett till att risken beaktades i det systematiska arbetsmiljöarbetet, i strid med AFS 2001:1.