Personuppgifterna ett åkeri glömmer att det har

De flesta åkerier möter dataskydd två gånger: när en kunds upphandlingsformulär dyker upp, och när någon vidarebefordrar ett mejl om cookiebanners. Bådadera känns som pappersarbete om webbplatsen, och webbplatsen är den minsta delen av det.

Verksamheten hanterar fler personuppgifter före lunch än marknadssidan gör på ett år. Förarnas namn, giltighetsdatum för körkort och YKB, nedladdningar från förarkort, positioner som loggas var femte minut ett helt arbetspass igenom, ett foto på en pall i en port, namn och telefonnummer på den som kvitterade, ett dashcam-klipp som någon sparade ifall det skulle behövas. Inget av det samlades in för att vara data; det samlades in för att dagen krävde det.

Det som följer beskriver vad dataskyddsförordningen ((EU) 2016/679) säger, med artikelnummer så att du kan läsa texten själv. En beskrivning, inte juridisk rådgivning.

Skriv ner listan, för förordningen ber om den

Artikel 30 kräver att en personuppgiftsansvarig för ett register över behandling: ändamålen, kategorierna av registrerade och av personuppgifter, vilka som tar emot uppgifterna och — om möjligt — tidsfrister för radering och säkerhetsåtgärderna.

Det finns ett undantag som de flesta mindre åkerier antar täcker dem. Artikel 30(5) tar bort skyldigheten för en organisation med färre än 250 anställda — om inte behandlingen sannolikt medför en risk för rättigheter och friheter, eller behandlingen inte är tillfällig, eller den omfattar särskilda kategorier av uppgifter. Trafikledning, positionering, löner och färdskrivarnedladdningar är motsatsen till tillfälliga, så gränsen räddar mycket få verksamheter i drift. Det är mindre betungande än det låter: registret är en tabell, och att skriva den är enda sättet att svara på det som följer utan att gissa.

Varför ni har uppgifterna är ingen formalitet

All behandling behöver en rättslig grund enligt artikel 6, och ett åkeri kör tre samtidigt.

Rättslig förpliktelse, 6.1 c. Ni sparar färdskrivaruppgifter för att lagen säger det. Förordning (EU) 165/2014, artikel 33.2, kräver att transportföretag bevarar diagramblad och utskrifter i läsbart skick i minst ett år efter användningen, och lämnar kopior till de förare som begär det. Nedladdningsintervallen är också fastlagda: förordning (EU) 581/2010 sätter högst 90 dagar för uppgifter från fordonsenheten och 28 dagar för uppgifter från förarkortet, räknat enbart på dagar med registrerad aktivitet.

Avtal, 6.1 b. Mottagarens namn och adressen ni levererar till finns därför att det finns ett uppdrag.

Berättigat intresse, 6.1 f. Här hamnar fordonspositionering oftast, och artikeln bär sin egen begränsning i samma mening: intresset är en rättslig grund “om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre”. En avvägning ni förväntas ha gjort, inte en ruta.

Fällan är artikel 5.1 b, ändamålsbegränsning: uppgifter som samlats in för särskilda, uttryckligt angivna och berättigade ändamål får inte behandlas vidare på ett sätt som är oförenligt med dem. Positioner som samlas in för att planera dagen och varna en mottagare om en försening är ett ändamål. Samma positioner sex veckor senare i en diskussion med en förare om en lunchrast är rimligen ett annat, och ingen skrev ner något av dem från början.

Föraren är anställd, vilket gör det svårare

Uppgifter om anställda är den vassa änden, eftersom personen har begränsad praktisk frihet att säga nej. Artikel 88 låter medlemsstaterna införa mer specifika regler för arbetslivet i lag eller kollektivavtal, uttryckligen inklusive övervakningssystem på arbetsplatsen — så “får vi följa våra förare så här?” är delvis en nationell och delvis en förhandlad fråga, och kan inte läsas ur förordningen ensam.

Två kategorier kräver omsorg. Läkarintyg och underlag om lämplighet att köra är uppgifter om hälsa, som artikel 9.1 förbjuder att behandla om inget undantag gäller — vanligen 9.2 b, arbetsrättsliga skyldigheter som är tillåtna enligt unionsrätt, nationell rätt eller kollektivavtal, med skyddsåtgärder. Och en fingeravtrycksläsare eller en kamera som känner igen ansikten skapar biometriska uppgifter — uppgifter från särskild teknisk behandling som möjliggör eller bekräftar en unik identifiering av en person, enligt artikel 4.14 — vilket 9.1 likaså förbjuder för det ändamålet utan undantag. En trötthetskamera som noterar ett slutande ögonlock och identifierar ingen är något helt annat.

Kameror får sällan den omsorgen: en dashcam köps som utrustning, inte som en behandling. Artikel 35.1 kräver en konsekvensbedömning innan behandling som sannolikt leder till en hög risk för rättigheter och friheter, och 35.3 c nämner systematisk övervakning av en allmän plats i stor omfattning som ett fall som särskilt kräver en. Om en viss flottas framåtriktade kameror träffar den beskrivningen är en bedömning av omfattning och ändamål; att frågan gäller är det inte. Sedan följer de vanliga frågorna — vad spelas in, vem tittar, på vilken utlösare, hur länge finns det kvar — och EDPB:s riktlinjer om uppkopplade fordon (version 2.0, antagen 9 mars 2021) är den läsbara referensen för dem.

De som aldrig haft med er att göra

Er kund gav er en mottagares namn, adress och mobilnummer. Den personen har aldrig talat med er och vet kanske inte att ert företag finns förrän en förare dyker upp.

Artikel 14 handlar om precis detta — information när personuppgifterna inte samlats in från den registrerade — med en frist: senast inom en månad, eller vid den första kontakten med personen, eller när uppgifterna först lämnas ut till en annan mottagare, det som inträffar först. Ett aviserings-SMS till en mottagare är den första kontakten, så en länk i det till er integritetspolicy är det billigaste sättet att uppfylla artikeln. Undantagen i 14.5 är smalare än de ser ut: personen har redan informationen, eller att lämna den är omöjligt eller kräver en oproportionerlig ansträngning — ett uttryck förordningen själv knyter till arkiv-, forsknings- och statistiska ändamål. “Det vore obekvämt” står inte på listan.

En namnteckning vid leverans är samma sak i miniatyr: personuppgifter om en namngiven individ, sparade i åratal och återgivna på ett leveransbevis ni mejlar vidare. Det är ett utlämnande till en mottagare, som artikel 30.1 d förväntar sig att ni kan beskriva.

När någon frågar

Förfrågningar är sällsynta i branschen, och dyra när de kommer oplanerat. Artikel 15 ger en person rätt till besked, tillgång och en kopia av de personuppgifter som behandlas, plus ändamålen, mottagarna, den planerade lagringstiden och källan. Artikel 12.3 ger er en månad att svara, förlängbart med två när begäran är komplicerad; 12.5 gör det kostnadsfritt om begäran inte är uppenbart ogrundad eller orimlig.

Den begäran att räkna med är en tidigare förare som vill ha sina positioner, sina färdskrivaruppgifter och det telematiken har poängsatt hen på. Radering har en gräns värd att känna till innan ni lovar något: artikel 17.3 b tar bort rätten när behandlingen är nödvändig för att uppfylla en rättslig förpliktelse. Ni raderar inte färdskrivaruppgifter på begäran. Ni raderar det som sparats enbart för att radera aldrig var någons uppgift.

Lagringstiderna är den del som faktiskt är arbete

Artikel 5.1 c kräver uppgifter som är adekvata, relevanta och begränsade till vad som är nödvändigt; 5.1 e att de inte förvaras i identifierbar form längre än nödvändigt; och 5.2 gör den ansvarige skyldig att kunna visa bådadera. Tillsammans gör de lagringstiden till en siffra som bestäms i förväg och kan beläggas efteråt.

Att bestämma siffrorna är en förmiddags arbete; att få dem genomförda är den svårare halvan, eftersom en regel som bygger på att någon kommer ihåg att radera beskriver en avsikt. Vad som utför raderingen betyder mer än vad som anger tiden — och där en del av svaret på “vem mer ser det här” är en leverantör täcker vad “EU-drift” faktiskt betyder den halvan.

Var navichain kommer in

navichain behandlar samtycke, lagringstider och gallringsbarhet för förardata som funktioner i plattformen snarare än stycken i ett dokument — de står på plattformssidan bredvid kör- och vilotiderna och fordonsreglerna, för i en verksamhet är de samma sorts skyldighet. Åtkomsten inne i en tenant styrs av roller och behörigheter per användare och avdelning, med tvåfaktorsinloggning för administratörer och spårbarhet på fältnivå för de poster som betyder något, och varje kunds data ligger i en egen isolerad databas inom EU. Vår integritetspolicy är offentlig. Inget av det avgör frågorna ovan åt er, men det är det som gör era svar möjliga att genomföra.