Vad EU-drift faktiskt betyder

Ett upphandlingsformulär kommer med anbudsunderlaget. Mellan försäkringsintygen och miljöpolicyn ligger fyra eller fem frågor om data: var lagras den, vem kommer åt den, kan den raderas, vad händer vid en incident? Det effektiva greppet är att öppna systemleverantörens webbplats, kopiera raden om EU-drift och gå vidare.

Det svaret är oftast sant och sällan tillräckligt, eftersom “driftat inom EU” är ett smalare påstående än vad frågan är ute efter. Det som följer är en karta över vad frågorna egentligen gäller, med artikelnummer ur dataskyddsförordningen (EU 2016/679) så att du kan kontrollera texten själv. Det beskriver vad förordningen säger; det är inte juridisk rådgivning.

Två jurisdiktioner, och de går isär

Två frågor gömmer sig i “var ligger er data”. Den första är driftjurisdiktion — vilket land servrarna fysiskt står i. Den andra är bolagsjurisdiktion — vilket lands lag bolaget som driver programvaran lyder under. De flesta formulär frågar det första och menar båda.

Glappet är inte hypotetiskt. Den amerikanska CLOUD Act från 2018 ändrade Stored Communications Act så att en USA-baserad leverantör måste lämna ut data som den har i sin besittning eller kontroll när ett lagligt beslut kräver det — oavsett om datan ligger i USA eller inte. Ett amerikanskägt bolag med servrar i Frankfurt har besvarat driftfrågan men inte kontrollfrågan. Det är inget skäl att stryka sådana leverantörer från listan; många åkerier använder dem medvetet och dokumenterar varför. Det är skäl att besvara de två frågorna var för sig.

Vad förordningen faktiskt säger om plats

Den vanligaste missuppfattningen i de här dokumenten är att GDPR kräver att personuppgifter förvaras inom EU. Det gör den inte. Ingen artikel säger så.

Artikel 3.1 knyter skyldigheterna till dig snarare än till din hårdvara: förordningen gäller behandling som sker inom ramen för verksamheten hos en personuppgiftsansvarigs eller ett personuppgiftsbiträdes etablering i unionen, oavsett om behandlingen utförs i unionen eller inte.

Kapitel V styr vad som händer när data lämnar unionen. Artikel 44 tillåter överföring till tredjeland bara om kapitlets villkor är uppfyllda — uttryckligen även vid vidare överföring därifrån till ett annat land — och kräver att kapitlet tillämpas så att skyddsnivån inte undergrävs. Enligt artikel 45.1 krävs ingen särskild tillståndsprövning när kommissionen har beslutat att ett land har en adekvat skyddsnivå; ett femtontal jurisdiktioner är godkända den vägen, plus EU–US Data Privacy Framework som antogs den 10 juli 2023. Utan ett sådant beslut kräver artikel 46 lämpliga skyddsåtgärder, oftast kommissionens standardavtalsklausuler enligt 46.2 c.

Adekvans är ett beslut, och beslut ändras. I mål C-311/18 den 16 juli 2020 ogiltigförklarade EU-domstolen det tidigare Privacy Shield, samtidigt som standardavtalsklausulerna i princip stod fast. Även det nuvarande ramverket har prövats, och stod sig i tribunalens dom i mål T-553/23 den 3 september 2025 — en dom som fortfarande kan överklagas i rättsfrågor.

Argumentet för EU-drift är alltså snävare än slagordet: det lockar inte för att en regel kräver det, utan för att det håller dig utanför kapitel V helt och hållet. Förlitar du dig ändå på adekvansbeslut eller klausuler — vet vilket.

Du är ansvarig, leverantören är biträde

Din kunds skyldigheter rinner ner till dig, och dina rinner vidare till din systemleverantör. Förordningen skriver ut förhållandet:

28.1 — du får bara anlita personuppgiftsbiträden som ger tillräckliga garantier för lämpliga tekniska och organisatoriska åtgärder.
28.2 — biträdet får inte anlita ett underbiträde utan skriftligt förhandsgodkännande, specifikt eller allmänt.
28.3 a — biträdet behandlar uppgifterna enbart enligt dokumenterade instruktioner, även vad gäller överföringar.
28.3 g — vid uppdragets slut raderar eller återlämnar biträdet personuppgifterna och raderar befintliga kopior.

Artikel 28.2 är den som i tysthet avgör om “EU-drift” håller. Applikationen kan köras i Stockholm medan felövervakning, e-postutskick, kartor och supportdesken ligger någon annanstans — vart och ett ett underbiträde, vart och ett en plats dit en förares telefonnummer kan ta vägen. En leverantör som inte kan visa upp ett personuppgiftsbiträdesavtal och en aktuell underbiträdesförteckning har gett dig en marknadsföringsrad, inte ett svar.

Och artikel 33: den personuppgiftsansvarige anmäler en personuppgiftsincident till tillsynsmyndigheten inom 72 timmar från vetskap när det är möjligt, medan biträdet underrättar den ansvarige utan onödigt dröjsmål. Klockan är din, och den börjar ticka när leverantören säger till.

Egen databas eller delat bord

I en delad lösning ligger alla kunders poster i samma tabeller, åtskilda av en kundkolumn som applikationen måste få med i varje fråga. I en isolerad lösning har varje kund en egen databas, och åtskillnaden är en egenskap hos lagringen i stället för hos koden.

Delat är ingen skandal — en stor mängd kompetent programvara fungerar så, det kostar mindre att driva och alla uppgraderas i takt. Skillnaden ligger i var gränsen går, och därmed i vad ett misstag kostar: i en delad lösning är ett glömt filter ett utlämnande mellan kunder, i en isolerad ger samma bugg ett tomt svar. Isolering gör också tre besvärliga saker till vardag: att exportera, återställa eller radera en enskild kund.

Ingendera är påbjuden. Artikel 32.1 kräver åtgärder som är lämpliga i förhållande till risken, och nämner pseudonymisering och kryptering, fortlöpande konfidentialitet, integritet, tillgänglighet och motståndskraft, förmågan att återställa tillgången efter en incident samt regelbunden testning. Isolering är något att peka på, inte ett intyg — så den användbara frågan är inte “är den isolerad?” utan “vad skulle behöva gå fel för att en kund ska se en annans data, och vad hindrar det?”

Export: rätten du har och den du förhandlar

Formulär åberopar gärna artikel 20, dataportabilitet, som om den garanterade ett åkeri sin egen data tillbaka. Läs den: den ger den registrerade rätt att få ut de personuppgifter som rör honom eller henne och som han eller hon själv har lämnat, i ett strukturerat, allmänt använt och maskinläsbart format, när behandlingen vilar på samtycke eller avtal och sker automatiserat. Det är din förares rättighet — inte ditt bolags rätt att få ut fem års bokningar ur ett system.

Bolagets exporträtt är avtalad. Artikel 28.3 g ger dig radering eller återlämnande när uppdraget upphör; allt dessförinnan är vad avtalet säger. Så skriv in det i avtalet: vilka uppgifter, i vilket format, till vilken kostnad och om ni kan köra exporten själva. En export “på begäran” via supporten är en tjänst, inte en funktion — och tjänster upphör när relationer gör det. Mer om det i att välja TMS.

Vad ett åkeri egentligen blir tillfrågat om

Skalar man bort juridiken vill formuläret veta vilka personuppgifter verksamheten har, och varför. För ett åkeri är listan sig lik: förare (namn, telefon, giltighetstider för körkort och YKB, position under arbetstid), kontorsanvändare, kundkontakter, mottagare och signaturer vid leverans.

Positionsdata om förare är den punkt man vinner på att ha bestämt sig om i förväg. Det är övervakning av anställda; det kräver en rättslig grund enligt artikel 6 — ofta berättigat intresse enligt 6.1 f, som enligt sin egen lydelse viker när den registrerades intressen eller grundläggande rättigheter väger tyngre — och det måste uppfylla artikel 5: särskilda, uttryckligt angivna och berättigade ändamål, begränsat till vad som är nödvändigt, bevarat inte längre än nödvändigt. “Hur länge sparar ni GPS-spår?” är en siffra du har bestämt i förväg.

Frågor värda att skicka tillbaka

Var driftas systemet, och vilket lands lag lyder bolaget under?
Finns ett personuppgiftsbiträdesavtal och en aktuell underbiträdesförteckning med platser?
Egen databas eller delade tabeller?
Hur, och hur snabbt, får vi veta om en incident?
Vad kan vi exportera själva, i vilket format och till vilken kostnad?

Var navichain står

Vårt svar på drift- och isoleringsfrågan är detsamma varje gång: varje kund får en isolerad databas per kund, inom EU, och samtycke för förare, lagringstider och raderingsbarhet upprätthålls av plattformen i stället för att beskrivas i ett policydokument. Åtkomsten inne i en kundmiljö styrs av roller och anspråksbaserade behörigheter per användare och avdelning, med tvåfaktorsautentisering för administratörer och en ändringslogg på fältnivå för de poster som betyder något. Faktureringen är månadsvis utan bindningstid, eftersom en leverantör du kan lämna måste fortsätta förtjäna svaret. Vår integritetspolicy är publik, plattformssidan beskriver vad som körs var, och om ditt formulär ställer en fråga den här artikeln inte täckte — hör av dig.

Vad "EU-drift" faktiskt betyder när en kund frågar