Transportvirksomheter som behandler personopplysninger om kunder, sjåfører eller ansatte, er underlagt GDPR og den norske personopplysningsloven (lov 2018-06-15-38). Det gjelder enten du kjører drosje, gods eller varebil.
Hva er GDPR og personopplysningsloven?
GDPR (General Data Protection Regulation) er en EU-forordning som ble gjeldende i hele EØS fra 2018. I Norge er den gjennomført via personopplysningsloven. Regelverket gir enkeltpersoner rett til å kontrollere egne opplysninger, og stiller krav til alle virksomheter som samler inn og bruker slik informasjon.
Personopplysninger er alle opplysninger som kan knyttes til en enkeltperson – navn, adresse, telefonnummer, betalingsdata, GPS-posisjon og kjørehistorikk er typiske eksempler fra transportbransjen.
Hvem er behandlingsansvarlig?
Den som bestemmer formålet med behandlingen og hvilke midler som brukes, er behandlingsansvarlig. I praksis betyr det:
- Et drosjefirma er behandlingsansvarlig for kundedata og sjåførdata.
- En transportbedrift (gods/varebil) er behandlingsansvarlig for data om sjåfører, kunder og leveringsadresser.
- En løyvehaver som driver alene, har det samme ansvaret overfor sine kunder.
Bruker virksomheten en ekstern leverandør som behandler data på vegne av bedriften, kalles denne en databehandler. Det skal inngås en skriftlig databehandleravtale.
Grunnleggende prinsipper du må kjenne
GDPR bygger på seks prinsipper som gjelder for all behandling av personopplysninger:
| Prinsipp | Hva det innebærer i praksis |
|---|---|
| Lovlighet, rettferdighet og åpenhet | Du må ha et gyldig grunnlag, og den registrerte skal vite hva som skjer med dataene |
| Formålsbegrensning | Opplysninger samlet inn til ett formål kan ikke fritt brukes til noe annet |
| Dataminimering | Bare samle inn det som er nødvendig for formålet |
| Riktighet | Opplysningene skal holdes oppdaterte og korrekte |
| Lagringsbegrensning | Ikke oppbevar data lenger enn nødvendig |
| Integritet og konfidensialitet | Beskytt opplysningene mot uautorisert tilgang og tap |
Behandlingsgrunnlag i transportbransjen
For å behandle personopplysninger lovlig, må du ha ett av de anerkjente behandlingsgrunnlagene:
- Avtale: Nødvendig for å oppfylle en transportavtale med kunden.
- Rettslig forpliktelse: Bokføringsloven (2004-11-19-73) krever at du lagrer regnskapsdata i lovpålagt antall år.
- Berettiget interesse: Kan i noen tilfeller gi grunnlag for analyseformål, men krever en interesseavveining.
- Samtykke: Frivillig, spesifikt og informert – men ikke alltid det rette grunnlaget i et kundeforhold.
Særlig relevant for drosjebransjen
Drosjekjøring innebærer hyppig behandling av sensitive data:
- GPS og posisjonsdata registreres løpende under kjøring.
- Betalingsopplysninger håndteres via taksameter etter taksameterforskrifta, som fortsatt gjelder (en mer teknologinøytral ordning med digital kontrollutrustning er foreslått, men ikke vedtatt som påbudt).
- Kjørehistorikk kan kobles til enkeltpersoner og er dermed personopplysninger.
Les mer om drosjeløyvets rammeverk i Løyveeksamen drosje: Alt du trenger å vite.
Ansattes personvern
Personvern gjelder også for egne ansatte og sjåfører. Arbeidsgiveren kan ha behov for å overvåke kjøreruter, arbeidstid og bruk av kjøretøy, men dette må balanseres mot arbeidstakerens rettigheter etter arbeidsmiljøloven (2005-06-17-62) og GDPR:
- Ansatte skal informeres om hvilken overvåking som skjer og hvorfor.
- Formålet må stå i rimelig forhold til inngrepet.
- Lønn, helsedata og fagforeningsmedlemskap er særskilte kategorier som krever sterkere grunnlag.
Se også Arbeidsmiljøloven for transportbransjen.
Innsyn, sletting og rettigheter
Registrerte personer har en rekke rettigheter under GDPR:
- Rett til innsyn – be om kopi av egne data.
- Rett til retting – få feilaktige opplysninger korrigert.
- Rett til sletting – under visse vilkår («retten til å bli glemt»).
- Rett til dataportabilitet – motta data i et maskinlesbart format.
- Rett til å protestere – mot behandling basert på berettiget interesse.
Transportvirksomheter må ha rutiner for å svare på slike henvendelser innen én måned.
Brudd på personvernreglene
Et personvernbrudd er en sikkerhetshendelse som fører til uautorisert tilgang, tap eller ødeleggelse av personopplysninger. Eksempler: datatyveri fra en bookingapplikasjon, feilsendt e-post med kundelister, eller tap av en enhet med ulagret kjøredata.
Alvorlige brudd skal meldes til Datatilsynet innen 72 timer. Bøtene kan være betydelige – inntil 4 % av global årsomsetning eller en fastsatt maksimumssum, avhengig av overtredelsens art.
Personvern og løyveeksamen
GDPR og personopplysningsloven inngår i pensum for løyveeksamenene under temaer om regelverk for drift og administrasjon. Kunnskap om behandlingsgrunnlag, den registrertes rettigheter og plikter ved personvernbrudd er relevant for alle tre løyvene.
Les mer om aktuelle lover i Yrkestransportloven: Dette må du vite for eksamen og MVA-regler i transportbransjen.
Ønsker du å øve på eksamensoppgaver og lese gjennom komplett teori, finner du alt samlet på /pricing – med over 600 øvingsspørsmål fordelt på begge kursene.
Ofte stilte spørsmål
Gjelder GDPR for enkeltpersonforetak i transportsektoren?
Ja. GDPR og personopplysningsloven gjelder for alle virksomheter som behandler personopplysninger, uavhengig av størrelse og organisasjonsform. Også en løyvehaver som driver som enkeltpersonforetak og lagrer kundedata, har behandlingsansvar.
Må jeg ha samtykke fra kunden for å lagre kjørehistorikk?
Ikke nødvendigvis. Samtykke er bare ett av flere behandlingsgrunnlag. Lagring som er nødvendig for å oppfylle en transportavtale, eller som kreves av bokføringsloven, kan ha et annet gyldig grunnlag. Vurder hva som er det reelle formålet, og velg riktig grunnlag.
Hva er en databehandleravtale og når trenger jeg den?
En databehandleravtale er en skriftlig avtale mellom deg (behandlingsansvarlig) og en tredjepart (databehandler) som behandler personopplysninger på dine vegne – for eksempel et bookingsystem, en regnskapsplattform eller et GPS-overvåkingssystem. Avtalen er obligatorisk etter GDPR.
Hvor lenge kan jeg lagre opplysninger om kunder og kjøreturer?
Det avhenger av formålet. Regnskapsdata underlagt bokføringsloven skal oppbevares i lovpålagt antall år. Øvrige kundedata skal slettes når de ikke lenger er nødvendige. Ha interne rutiner som angir lagringstider for ulike datakategorier.
Er GPS-sporing av ansatte sjåfører lov?
GPS-sporing av ansatte kan være lovlig dersom det foreligger et saklig formål, de ansatte er informert, og overvåkingen ikke er mer inngripende enn nødvendig. Arbeidsgiveren må gjøre en interesseavveining i tråd med arbeidsmiljøloven.