RODO i cyberbezpieczeństwo / PORADNIK 25
RODO w firmie transportowej: dane kierowców, GPS i pliki DDD
RODO w firmie transportowej dotyczy codziennych czynności: od zatrudnienia kierowcy po wysłanie ewidencji do rozliczeń. Dane z karty kierowcy, trasa przypisana do konkretnej osoby i raport wynagrodzenia wymagają określonego celu, podstawy prawnej oraz ochrony. Zacznij od obiegu dokumentów, a dopiero później dobieraj formularze i narzędzia.
Opracowanie na podstawie źródeł prawnych sprawdzonych 11.10.2026. Materiał informacyjny dla firm transportowych.
Jakie dane osobowe przetwarza przewoźnik?
Najczęściej są to dane identyfikacyjne i kontaktowe kierowców, informacje o uprawnieniach, czasie pracy, wynagrodzeniu i lokalizacji. Plik DDD może zawierać dane pozwalające zidentyfikować kierowcę oraz jego aktywności. Ochrony mogą wymagać również numery telefonów odbiorców towaru, podpisy na dokumentach przewozowych i dane osób kontaktowych u kontrahenta. Zapisz, skąd każda kategoria trafia do firmy, kto z niej korzysta i komu jest przekazywana. Ten prosty schemat ułatwia wykrycie zbędnych kopii w poczcie i na prywatnych komputerach. [rodo: art. 4–5]
Czy potrzebujesz zgody kierowcy na przetwarzanie danych?
Zgoda nie jest uniwersalną podstawą obsługi zatrudnienia. Gdy konkretne przepisy nakazują prowadzenie dokumentacji, właściwa może być konieczność wykonania obowiązku prawnego. Przy innych czynnościach trzeba odrębnie ocenić podstawę, niezbędność i zakres danych; nie każde działanie firmy uzasadnia umowa z kierowcą. Prawnie uzasadniony interes wymaga oceny wpływu na prawa osoby. Nie zbieraj podpisów „na wszelki wypadek” zamiast ustalenia rzeczywistego celu. Kierowca powinien otrzymać zrozumiałą informację o przetwarzaniu i swoich prawach. [rodo: art. 6, 13–14]
GPS w samochodzie służbowym a RODO
Lokalizacja pojazdu staje się daną osobową, gdy można powiązać ją z kierowcą. Określ, czy GPS służy organizacji pracy, bezpieczeństwu ładunku czy innemu uzasadnionemu celowi. Oceń niezbędność monitorowania i uwzględnij przepisy prawa pracy dotyczące innych form monitoringu. Zasady, zakres oraz sposób jego stosowania powinny być znane pracownikowi. Ciągłe śledzenie po zakończeniu pracy, zwłaszcza przy dozwolonym użytku prywatnym, wymaga szczególnie ostrożnej oceny i ograniczeń. Obowiązkowy zapis tachografu oraz dodatkowy monitoring GPS to różne procesy. [rodo: art. 5–6 i 13; kp: art. 22²–22³]
Pliki DDD i ewidencja: komu udostępniać dokumenty?
Osoba planująca trasę nie musi otrzymywać pełnej dokumentacji płacowej. Ustal dostęp według obowiązków i stosuj indywidualne konta zamiast jednego wspólnego loginu dla biura. Przed wysyłką raportu sprawdź adresata, okres i zakres danych. Dobierz zabezpieczony kanał transferu do ryzyka; ogranicz przesyłanie kopii przez prywatne komunikatory. Przy odejściu pracownika odbierz uprawnienia i rozlicz urządzenia. W procedurze zapisz również, kto zatwierdza udostępnienie danych klientowi, ubezpieczycielowi lub organowi kontroli. [rodo: art. 5 i 32]
Biuro rozliczeniowe i system w chmurze: kiedy powierzenie?
Jeżeli biuro lub dostawca przetwarza dane w imieniu przewoźnika i według jego poleceń, trzeba uregulować powierzenie zgodnie z art. 28 RODO. Sprawdź przedmiot usługi, poufność, zabezpieczenia, dalszych podwykonawców, pomoc przy naruszeniach oraz zwrot lub usunięcie danych po zakończeniu współpracy. Sama nazwa „partner” nie rozstrzyga roli prawnej. Podmiot samodzielnie ustalający cele określonego przetwarzania może być odrębnym administratorem. Przy chmurze ustal też lokalizację przetwarzania i ewentualne transfery poza EOG. [rodo: art. 28 i rozdział V]
Jak długo przechowywać dane kierowców?
Nie ustalaj jednego okresu dla wszystkich plików. Dokumentacja zatrudnienia, ewidencja czasu pracy, odczyty tachografu i historia GPS mogą służyć różnym celom oraz podlegać odmiennym wymaganiom. Dla każdej kategorii zapisz podstawę okresu przechowywania, moment jego rozpoczęcia i sposób usuwania. Uwzględnij uzasadnione zabezpieczenie roszczeń oraz obowiązki archiwizacyjne. Zaplanuj także cykl kopii zapasowych, aby skasowany raport nie pozostawał bezterminowo w dodatkowych archiwach. Szczegóły retencji dokumentów omawiamy w powiązanym poradniku. [rodo: art. 5 ust. 1 lit. e]
Naruszenie danych: kiedy liczy się 72 godziny?
Błędny adresat e-maila, utrata laptopa lub przejęcie konta wymagają szybkiego ustalenia, jakie dane zostały zagrożone. Administrator zgłasza naruszenie właściwemu organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości do 72 godzin od jego stwierdzenia, chyba że ryzyko dla praw lub wolności osób jest mało prawdopodobne. Wszystkie naruszenia należy dokumentować. Przy wysokim ryzyku trzeba również ocenić obowiązek zawiadomienia osób bez zbędnej zwłoki. Procesor informuje administratora bez zbędnej zwłoki; nie otrzymuje automatycznie własnych 72 godzin. [rodo: art. 33–34]
Lista działań: od czego zacząć ochronę danych w transporcie?
Przypisz odpowiedzialność za dane i zgłoszenia. Spisz procesy, ich cele i podstawy, uporządkuj informacje dla kierowców oraz umowy z usługodawcami. Następnie przejrzyj uprawnienia, zabezpiecz urządzenia, włącz uwierzytelnianie wieloskładnikowe tam, gdzie jest dostępne, i przetestuj odtworzenie kopii. Ustal terminy przeglądów oraz usuwania dokumentów. Na końcu przećwicz prosty scenariusz: raport płacowy trafił do niewłaściwego odbiorcy. Te działania dobieraj do ryzyka; gotowy segregator nie dowodzi, że proces działa. [rodo: art. 24 i 32]
Czy mała firma transportowa też podlega RODO?
Tak, mała flota nie zwalnia firmy z ochrony danych przetwarzanych w działalności. Wyjątek dotyczący rejestru czynności dla organizacji zatrudniających mniej niż 250 osób ma warunki; nie działa automatycznie przy regularnym przetwarzaniu danych pracowniczych. Skala wpływa na organizację zabezpieczeń, ale nie usuwa wymogu legalności i przejrzystości. Nie trzeba przy tym kopiować procedur wielkiej korporacji: opis powinien odpowiadać faktycznemu obiegowi danych w Twoim biurze. [rodo: art. 2 i 30 ust. 5]
Czy program do rozliczania kierowców zapewnia zgodność z RODO?
Sam zakup programu nie oznacza zgodności całej firmy. Przy wyborze sprawdź warunki usługi, role dostawcy, dostępne uprawnienia i zasady przekazywania danych. Funkcje rozliczeniowe BRKPlus oceniaj razem z procedurą pracy osób, które wprowadzają dane i eksportują raporty. Odpowiedzialność za cel przetwarzania, właściwy zakres dokumentów i decyzje o ich udostępnieniu nie znika po uruchomieniu narzędzia.
SYTUACJA Z PRAKTYKI
Praktyczny przykład
Firma obsługująca osiem busów wysyła co miesiąc dokumenty do zewnętrznego biura. Zamiast paczki z całym archiwum kierowców przygotowuje uzgodniony zakres za konkretny miesiąc. Upoważniona osoba sprawdza odbiorcę i korzysta z zabezpieczonego kanału. Umowa opisuje rolę biura, a harmonogram porządkuje usuwanie roboczych kopii. To przykład organizacji procesu, nie gotowa ocena zgodności konkretnego wdrożenia.
Przykład ilustracyjny; nie stanowi indywidualnej interpretacji.Co to oznacza dla firmy?
Połącz ochronę danych kierowców z obiegiem odczytów i raportów. Im lepiej wiesz, kto pobiera DDD, kto analizuje aktywności i kto zatwierdza eksport, tym łatwiej ograniczyć błędy oraz zbędne udostępnienia. Zabezpieczenia i warunki dostawcy sprawdzaj w aktualnej dokumentacji, bez zakładania funkcji, których nie potwierdzono.
Przy układaniu własnego procesu poznaj funkcje BRKPlus i sprawdź ich zastosowanie w Twojej firmie.
Podstawa prawna i źródła
Data opracowania: 11.10.2026. Stan prawny i źródła sprawdzono 11.10.2026. Zastosowanie obowiązków zależy od działalności i sposobu przetwarzania danych w konkretnej firmie.
- Rozporządzenie (UE) 2016/679 (RODO), zwłaszcza art. 4–6, 13–14, 24, 28, 30, 32–34 i rozdział V
- Kodeks pracy — ELI, akt i aktualizacje
Warto przeczytać dalej
Materiał informacyjny, nie indywidualna porada prawna. Serwis promuje BRKPlus. Program wspiera pracę na danych, lecz nie zastępuje ich oceny i właściwego zastosowania przepisów.
TERAZ TWÓJ RUCH
Przenieś porządek do rozliczeń.
Zobacz, jak BRKPlus wspiera analizę i ewidencję kierowców.
Załóż konto w BRKPlus
