Körjournal, GDPR och anställda: vad arbetsgivaren får och måste göra

Positionsdata är personuppgifter

Positionsdata från en elektronisk körjournal är personuppgifter när de kan knytas till en förare. Det gäller även om det i första hand är bilens registreringsnummer som visas, när arbetsgivaren kan koppla resan till en person. En journal kan beskriva datum, sträcka, stopp och platser i både arbetslivet och privatlivet. Arbetsgivaren behöver därför bedöma användningen som behandling av personuppgifter, inte enbart som en teknisk installation. På startsidan om körjournal finns den gemensamma översikten över dokumentation och olika registreringssätt.

Behovet av ett reseunderlag innebär inte att varje möjlig positionsuppgift behöver sparas eller visas för alla som arbetar i företaget. Skilj mellan den färdiga journalposten och de detaljer som används för att skapa den. En chef kan behöva granska milersättning utan att löpande se förarens position på en karta. Den som administrerar bilar behöver inte automatiskt kunna läsa alla privata stopp. Börja därför med vilka uppgifter som behövs för det bestämda syftet och vilka personer som behöver tillgång för att utföra sin uppgift.

IMY, Integritetsskyddsmyndigheten, är myndigheten för dataskyddsfrågorna som beskrivs här. Vägledningen från IMY behöver användas tillsammans med en bedömning av den egna verksamheten. Artikeln ger en allmän struktur för frågor inför ett införande, inte ett besked om att ett visst system eller en viss policy är tillåten. Guiden om elektronisk körjournal beskriver hur resorna registreras. Dataskyddsbedömningen behöver sedan omfatta vad uppgifterna faktiskt används till efter registreringen och hur de görs tillgängliga i företaget.

Rättslig grund och avgränsade ändamål

Samtycke är i regel inte en lämplig rättslig grund i ett anställningsförhållande, eftersom styrkeförhållandet kan göra det svårt för den anställde att välja fritt. Arbetsgivare brukar i stället bedöma rättslig förpliktelse för sådant som underlag till förmånsbeskattning och bokföring, eller intresseavvägning för ett berättigat intresse. Ingen av dessa grunder ska användas som en allmän etikett för all positionsbehandling. Beskriv den konkreta behandlingen och bedöm vilken grund som kan stödja just den. Behovet av bokföring innebär inte automatiskt behov av ständig personövervakning.

En intresseavvägning innebär att arbetsgivarens berättigade intresse vägs mot den anställdes integritet. Dokumentera varför uppgifterna behövs och om syftet kan uppnås med mindre ingripande information. Skilj exempelvis mellan att stämma av körjournalen och att följa någon i realtid. Det kan finnas olika ändamål för journal, löneunderlag och logistik, men de behöver vara bestämda och kommunicerade. Att en funktion finns i tjänsten eller ingår i abonnemanget är inte en egen rättslig grund för att använda den.

Ändamålsbegränsning betyder att uppgifterna används för de syften som har bestämts och kommunicerats. Ett underlag insamlat för körjournal bör inte utan vidare bli ett verktyg för löpande kontroll av var en anställd befinner sig. Vid en konkret misstanke om missbruk kan en avgränsad kontroll behöva bedömas, och sådan användning behöver framgå av policyn i förväg. Misstanke och en policyrad ger inte automatiskt tillstånd till vilken kontroll som helst. Företaget behöver fortfarande bedöma nödvändighet, omfattning och integritet för den aktuella situationen.

Dokumentera skillnaderna mellan att samla in, spara, läsa och exportera uppgifter. Dessa moment kan ha olika praktiska behov även när de rör samma resa. En export till lönehantering ska inte av slentrian innehålla fler privata detaljer än mottagaren behöver. I guiden om körjournal i företag beskrivs ansvar och attest. Koppla den rutinen till dataskyddsarbetet så att behörigheterna följer arbetsuppgifterna och inte växer utan kontroll när flera personer hjälper till med administrationen.

Information och MBL före beslut

Anställda ska informeras i förväg om vad som samlas in, varför, hur länge det sparas och vem som har tillgång. En bil- eller körjournalpolicy kan samla informationen så att rutinen går att förstå innan registreringen börjar. Beskriv både automatisk registrering och det som föraren själv ska komplettera. Förklara privatläge och vilka uppgifter arbetsgivaren ser. Informationen bör motsvara hur tjänsten faktiskt är inställd, inte en generell produktbeskrivning som säger att systemet kan göra mer eller mindre än det gör i er installation.

Införandet av elektronisk körjournal räknas normalt som en väsentlig förändring som ska förhandlas med facket enligt medbestämmandelagen innan beslut. Förhandlingen är inte samma sak som att informera efter att enheterna redan monterats. Facket har inte någon allmän vetorätt i den beskrivna situationen, men det tar inte bort arbetsgivarens skyldighet att hantera förhandlingen på rätt sätt. Hur skyldigheten ska tillämpas behöver bedömas i verksamhetens konkreta förhållanden. Planera därför arbetet så att både förhandling, dataskyddsbedömning och information hinns med före införandet.

Den anställde kan normalt inte vägra elektronisk körjournal i en tjänstebil enbart av integritetsskäl om de relevanta reglerna har följts. Det är inte ett argument för att avstå från information, privatläge eller prövning av invändningar. En förare kan uppmärksamma felaktig insamling, otydliga syften eller behörigheter som behöver ses över. Företaget bör kunna förklara rutinen och hur frågor tas om hand. Artikeln avgör inte en enskild arbetsrättslig konflikt och ger inte ett generellt godkännande av varje form av GPS-användning på arbetsplatsen.

Privatläge, lagring och konsekvensbedömning

För en förmånsbil bör föraren kunna markera privata resor så att detaljerade positionsdata för privat körning inte sparas. Själva journalposten med datum, mil och tjänst eller privat behövs ändå för helheten. Fråga därför inte bara om det finns en knapp för privatläge, utan vad knappen förändrar i lagring, visning och export. Ett läge som döljer kartan på en skärm kan fortfarande spara samma detaljer någon annanstans. Kontrollera inställningen praktiskt med olika behörigheter innan ni beskriver den för de anställda.

Journalposterna är räkenskapsinformation och ska sparas enligt sjuårsregeln, till och med det sjunde året efter räkenskapsårets utgång. Det innebär inte att alla detaljerade positionsdata utöver journalen ska ligga kvar lika länge. Sådana extra uppgifter bör gallras när ändamålet är uppfyllt. Sätt en bestämd gallringstid i policyn utifrån den egna bedömningen och beskriv hur gallringen genomförs. Hur länge positionsdata ska sparas har ingen generell tidsgräns – bestäm en gallringstid i policyn och håll den. Skilj även mellan radering i tjänsten och sparad export så att samma uppgifter inte blir kvar av misstag.

En konsekvensbedömning, ofta kallad DPIA, kan krävas vid systematisk övervakning av anställda. Använd IMY:s vägledning för att bedöma behovet innan behandlingen börjar och dokumentera vilka risker och åtgärder som identifierats. En vanlig körjournalsfunktion och en mer omfattande övervakningsfunktion kan behöva olika bedömningar. Om användningen förändras behöver tidigare slutsatser ses över. En genomförd bedömning är inte en engångsstämpel för alla framtida funktioner, utan ett underlag som ska motsvara den behandling företaget faktiskt utför.

Kontrollera hur historiken lämnas ut och hur uppgifter gallras vid byte av tjänst. Journalen behöver fortfarande kunna läsas enligt arkiveringsrutinen, medan extra positioner inte ska bli kvar utan ändamål. Läs reglerna om körjournal och arkivering för den skattemässiga delen. I leverantörsregistret och frågorna om lagring och export finns frågor att ställa skriftligt. Registret innehåller ingen särskild lagring/export-kolumn med verifierade svar; sådana villkor behöver kontrolleras med respektive leverantör.

Jämför tre bilsituationer

Bilens användning påverkar vilka uppgifter och vilket privatläge som behöver bedömas. En tjänstebil utan privat användning, en förmånsbil och en egen bil med app är inte identiska situationer. Tabellen beskriver typiska frågor, inte färdiga juridiska slutsatser. Rättslig grund behöver bedömas för varje bestämt ändamål och de faktiska uppgifterna. Den anställdes egen telefon gör inte arbetsgivarens behandling oreglerad. En app för egen bil kan också lämna personuppgifter till arbetsgivaren när reseunderlaget delas eller exporteras för ersättning.

Tio punkter för en körjournalpolicy

En användbar policy beskriver vad som görs i praktiken och vem som ansvarar för varje del. Skriv den så att både förare och administratör förstår hur uppgifter registreras, läses och sparas. Prova inställningarna mot texten innan policyn lämnas till de anställda. Om något är oklart behöver det redas ut, inte döljas bakom en allmän hänvisning till leverantören. Uppdatera informationen när syfte, behörigheter eller funktioner ändras. Policyn ersätter varken rättslig grund, förhandling eller den bedömning som behövs för behandlingen.

1. Beskriv ändamålen med journal, löneunderlag och eventuell logistik.
2. Dokumentera rättslig grund för respektive behandling.
3. Ange vilka uppgifter som registreras automatiskt och manuellt.
4. Beskriv föraridentifiering och kontroll av felaktiga kopplingar.
5. Förklara privatläget och vad som inte sparas i detalj.
6. Ange vem som får läsa, rätta och exportera uppgifter.
7. Skilj journalens arkivering från gallring av extra positioner.
8. Beskriv när avgränsad kontroll kan bedömas och hur den hanteras.
9. Dokumentera förhandling och bedömning av behovet av DPIA.
10. Ange vart anställda vänder sig med frågor och invändningar.

Följ upp policyn efter införandet genom att kontrollera verkliga exporter och behörigheter. Någon som inte längre arbetar med löneunderlaget ska inte behålla tillgång av gammal vana. En privat resa ska inte exponeras mer detaljerat därför att en ny funktion slagits på. Samla förarnas frågor och rätta information som inte motsvarar tjänsten. Ett fungerande dataskyddsarbete handlar om hela användningen av uppgifterna, från bilens registrering till den sista sparade kopian. Det är inte enbart ett val av program eller en underskrift på ett dokument.

Vanliga frågor

Är GPS-data i en körjournal personuppgifter?

Ja, när uppgifterna kan knytas till en förare. Det kan gälla även när bilens registreringsnummer visas, om arbetsgivaren kan koppla bilen och resan till en person.

Kan arbetsgivaren använda samtycke som rättslig grund?

Samtycke är i regel inte lämpligt i anställningsförhållanden på grund av styrkeförhållandet. Rättslig förpliktelse eller intresseavvägning kan behöva bedömas för det bestämda ändamålet; ingen grund ger automatiskt stöd för all positionsbehandling.

Får arbetsgivaren följa en anställd löpande på kartan?

Uppgifter för körjournal ska användas för bestämda och kommunicerade ändamål, inte slentrianmässig personkontroll. Vid konkret misstanke om missbruk kan en avgränsad kontroll behöva bedömas och vara beskriven i policyn i förväg, men detta ger inte automatiskt tillstånd.

Behöver införandet förhandlas enligt MBL?

Införande av elektronisk körjournal räknas normalt som en väsentlig förändring som ska förhandlas med facket före beslut. Facket har ingen allmän vetorätt i den beskrivna situationen. Tillämpningen behöver bedömas för verksamheten.

Ska privata positioner sparas lika länge som körjournalen?

Inte automatiskt. Journalposter sparas enligt sjuårsregeln, medan detaljerade positionsdata utöver journalen bör gallras när ändamålet är uppfyllt. Bestäm och dokumentera gallringstiden i policyn utan att anta en generell tidsgräns.

När kan en konsekvensbedömning behövas?

En DPIA kan krävas vid systematisk övervakning av anställda. Använd IMY:s vägledning och bedöm den faktiska behandlingen innan den börjar samt när användningen förändras.

Kan en anställd vägra en elektronisk körjournal?

Normalt kan den anställde inte vägra en elektronisk körjournal i tjänstebil enbart av integritetsskäl om relevanta regler följts. Invändningar om behandlingen ska ändå tas om hand och den konkreta situationen kan behöva bedömas.