RODO w transporcie i logistyce — dane kierowców, flota i przewoźnicy

Transport i logistyka opierają się na sprawnym przepływie informacji. Dane osobowe towarzyszą niemal każdemu etapowi tego procesu. Firmy przetwarzają dane kierowców, lokalizację pojazdów, informacje o czasie pracy oraz dane odbiorców przesyłek. Korzystają też z systemów telematycznych, aplikacji mobilnych i usług zewnętrznych przewoźników. W tym sektorze RODO łączy się z przepisami transportowymi, prawem pracy i codzienną organizacją przewozów. Szczególne znaczenie mają tachografy, monitoring GPS oraz rozbudowane łańcuchy podwykonawców.

Skalę ryzyka dobrze pokazuje sprawa DPD Polska. W decyzji opisanej 23 lutego 2026 r. Prezes UODO nałożył na spółkę kary w łącznej wysokości 11,46 mln zł. Pierwsza dotyczyła braku wymaganych umów powierzenia z przewoźnikami. Druga wynikała z niewdrożenia odpowiednich środków organizacyjnych dotyczących bezpieczeństwa danych. Sprawa pokazuje, że ochrona danych nie kończy się na systemach informatycznych. Obejmuje również załadunek, transport, doręczenie oraz dostęp osób współpracujących z firmą.

W tym artykule wyjaśniam, jak uporządkować najważniejsze procesy przetwarzania w firmie transportowej. Omawiam dane kierowców, monitoring GPS, tachografy, współpracę z przewoźnikami oraz praktyczne zasady bezpieczeństwa.

Jakie dane przetwarza firma transportowa i logistyczna

Zakres przetwarzania zależy od rodzaju działalności. Inne procesy prowadzi przewoźnik drogowy, a inne operator logistyczny czy firma kurierska. W większości organizacji można jednak wyróżnić kilka podstawowych kategorii danych.

Dane kierowców. Obejmują informacje identyfikacyjne, dane z prawa jazdy, karty kierowcy oraz dokumenty związane z zatrudnieniem. Firma może również przetwarzać lokalizację GPS, czas pracy, styl jazdy i dane z tachografu. W określonych przypadkach pojawiają się także informacje o stanie zdrowia.

Dane nadawców i odbiorców przesyłek. Najczęściej są to imię, nazwisko, adres, numer telefonu oraz informacje dotyczące doręczenia. Część danych znajduje się na etykietach, w dokumentach przewozowych lub aplikacjach kurierskich.

Dane kontrahentów i ich pracowników. Organizacja przetwarza informacje o osobach kontaktowych u klientów, przewoźników, spedytorów i dostawców usług.

Dane z systemów operacyjnych. Systemy TMS, telematyka i aplikacje mobilne mogą łączyć informacje o trasach, pojazdach, kierowcach oraz przesyłkach.

Każda kategoria wymaga ustalenia celu, podstawy prawnej i okresu przechowywania. Ponadto niektóre procesy podlegają szczególnym przepisom transportowym lub prawa pracy.

Dane kierowców — monitoring GPS i telematyka

Lokalizacja pojazdu może stanowić dane osobowe kierowcy. Dzieje się tak, gdy organizacja może powiązać pojazd z konkretną osobą. Systemy telematyczne często przetwarzają również informacje o prędkości, przebiegu trasy i stylu jazdy. Dlatego ich wykorzystanie wymaga oceny z perspektywy RODO. Jeżeli monitoring obejmuje pracowników, trzeba dodatkowo uwzględnić przepisy Kodeksu pracy. Nie wystarczy więc samo uzasadnienie biznesowe ani zakup odpowiedniego systemu.

Cel i podstawa prawna monitoringu

Najpierw należy określić, po co organizacja zbiera dane lokalizacyjne. Może chodzić o organizację pracy, zarządzanie flotą, rozliczanie tras lub ochronę udostępnionych pojazdów. W przypadku monitoringu pracowniczego UODO wskazuje na możliwość zastosowania art. 6 ust. 1 lit. f RODO. Wymaga to jednak przeprowadzenia testu równowagi. Pracodawca musi również przestrzegać ograniczeń wynikających z Kodeksu pracy. Nie należy automatycznie opierać monitoringu na zgodzie pracownika. Ze względu na nierównowagę stron jej dobrowolność może budzić poważne wątpliwości.

Monitoring pracowniczy i obowiązek informacyjny

GPS wykorzystywany do kontroli pracowników może stanowić inną formę monitoringu z art. 22³ § 4 Kodeksu pracy. Pracodawca powinien określić cel, zakres i sposób monitoringu w odpowiednim akcie wewnętrznym. Może to być regulamin pracy, układ zbiorowy albo obwieszczenie. Ponadto pracowników trzeba poinformować o wprowadzeniu monitoringu najpóźniej dwa tygodnie przed jego uruchomieniem. Nowy pracownik powinien otrzymać wymagane informacje przed dopuszczeniem do pracy.

Proporcjonalność i minimalizacja

Monitoring powinien obejmować wyłącznie dane potrzebne do określonego celu. Jeżeli mniej inwazyjne rozwiązanie wystarczy, warto wybrać właśnie je. Szczególnej ostrożności wymagają pojazdy wykorzystywane także prywatnie. Ciągłe śledzenie kierowcy poza czasem pracy może nadmiernie ingerować w jego prywatność. Dlatego warto rozważyć tryb prywatny lub inne rozwiązanie ograniczające rejestrowanie lokalizacji. Kierowca powinien też wiedzieć, jakie dane firma zbiera i jak długo je przechowuje.

Tachograf, karta kierowcy i ewidencja czasu pracy

Nie wszystkie dane kierowców firma przetwarza wyłącznie na potrzeby zarządzania flotą. Część obowiązków wynika bezpośrednio z przepisów transportowych. Rozporządzenie (UE) nr 165/2014 reguluje stosowanie tachografów. Z kolei rozporządzenie (WE) nr 561/2006 określa zasady dotyczące czasu prowadzenia pojazdu, przerw i odpoczynku. W zakresie realizacji obowiązków ustawowych podstawą przetwarzania będzie co do zasady art. 6 ust. 1 lit. c RODO. Nie oznacza to jednak dowolności w wykorzystywaniu danych. Informacje z tachografu i karty kierowcy nadal pozostają danymi osobowymi.

Organizacja powinna ograniczyć dostęp do uprawnionych osób i odpowiednio zabezpieczyć dokumentację. Musi również ustalić okresy przechowywania wynikające z właściwych przepisów. Warto przy tym odróżnić dane z tachografu od danych GPS. Pierwsze służą przede wszystkim realizacji obowiązków transportowych i kontroli czasu pracy. Drugie mogą wspierać zarządzanie operacyjne. Jeżeli firma wykorzystuje te informacje także do innych celów, powinna odrębnie ocenić ich dopuszczalność.

Udostępnianie danych kierowców klientom i platformom

W codziennej logistyce dane kierowców często trafiają do innych podmiotów. Przykładowo odbiorca przesyłki może zobaczyć imię kierowcy i jego numer telefonu. Podobne informacje mogą otrzymywać zleceniodawcy, spedytorzy lub operatorzy platform transportowych. Każde takie udostępnienie wymaga określenia celu i odpowiedniej podstawy prawnej. Należy również ograniczyć zakres danych do informacji rzeczywiście potrzebnych odbiorcy.

Warto więc ustalić, kto otrzymuje dane kierowcy i w jakim celu. Następnie trzeba odpowiednio uregulować ten proces w dokumentacji oraz informacjach przekazywanych osobom trzecim. Nie należy też zakładać, że każdy odbiorca działa jako procesor. Jego rolę trzeba ocenić na podstawie rzeczywistego sposobu przetwarzania.

Przewoźnicy i podwykonawcy — role oraz umowy powierzenia

Łańcuch logistyczny często obejmuje wiele niezależnych podmiotów. Mogą to być przewoźnicy, spedytorzy, magazyny, dostawcy telematyki, systemów TMS oraz usług rozliczeniowych. Dlatego też jednym z najważniejszych zadań jest prawidłowe ustalenie ról poszczególnych uczestników. Nie każda współpraca wymaga automatycznie umowy powierzenia. Decydujące znaczenie ma to, czy dany podmiot przetwarza dane w imieniu administratora.

Jeżeli działa na jego zlecenie i według instrukcji, może pełnić funkcję procesora. Wtedy konieczna jest umowa powierzenia zgodna z art. 28 RODO. Z kolei podmiot samodzielnie określający cele i sposoby przetwarzania może działać jako odrębny administrator. W takim przypadku trzeba odpowiednio uregulować udostępnianie danych.

Czego uczy sprawa DPD Polska

W sprawie DPD Polska UODO zakwestionował współpracę z określonymi zewnętrznymi przewoźnikami bez wymaganych umów powierzenia. Przewoźnicy uczestniczyli w załadunku i rozładunku przesyłek. Mieli więc dostęp do etykiet adresowych zawierających dane osobowe. Organ zwrócił również uwagę na sposób organizacji upoważnień do przetwarzania danych. Spółka nie wdrożyła skutecznie własnych zasad dotyczących ich udzielania.

Za brak umów powierzenia Prezes UODO nałożył karę 6,251 mln zł. Drugie naruszenie skutkowało karą 5,209 mln zł. Sprawa pokazuje, że sama nazwa umowy transportowej nie przesądza o roli kontrahenta. Trzeba przeanalizować rzeczywisty zakres jego czynności i dostęp do danych. Równie ważne są skuteczne upoważnienia, instrukcje oraz kontrola dostępu. Dokumentacja powinna odpowiadać temu, jak organizacja faktycznie działa.

Bezpieczeństwo danych w transporcie i logistyce

Dane w branży transportowej znajdują się w wielu miejscach jednocześnie. Pracownicy korzystają z aplikacji mobilnych, systemów TMS, telematyki i dokumentów przewozowych. Taki model wymaga odpowiednich środków technicznych oraz organizacyjnych. Zgodnie z art. 32 RODO organizacja powinna dobrać zabezpieczenia do poziomu ryzyka. W praktyce warto zwrócić uwagę na:

• kontrolę dostępu — użytkownicy powinni widzieć tylko dane potrzebne do wykonywania obowiązków,
• bezpieczeństwo urządzeń mobilnych — telefony i tablety powinny posiadać odpowiednie zabezpieczenia,
• szyfrowanie i ochronę transmisji — szczególnie przy przekazywaniu danych pomiędzy systemami,
• ograniczenie widoczności danych — etykiety i aplikacje nie powinny ujawniać zbędnych informacji,
• zarządzanie upoważnieniami — dostęp należy nadawać, aktualizować i odbierać w uporządkowany sposób,
• procedury reagowania na incydenty — pracownicy powinni wiedzieć, jak zgłosić utratę urządzenia lub nieuprawniony dostęp.

Warto również uwzględnić ryzyka związane z dokumentami papierowymi. Dane mogą zostać ujawnione nie tylko przez system informatyczny, ale także podczas fizycznej obsługi przesyłek.

Transfery danych poza EOG

Transport międzynarodowy może wiązać się z przekazywaniem danych poza Europejski Obszar Gospodarczy. Sam przejazd kierowcy przez państwo trzecie nie oznacza jednak automatycznie transferu danych w rozumieniu rozdziału V RODO. Znaczenie ma rzeczywisty sposób udostępniania danych innemu podmiotowi.

Ryzyko może pojawić się przy korzystaniu z zagranicznych platform, dostawców chmury lub zewnętrznych centrów wsparcia. Dlatego organizacja powinna ustalić, gdzie trafiają dane i kto może uzyskać do nich dostęp. Jeżeli dochodzi do transferu, należy zastosować odpowiedni mechanizm prawny. Może to być decyzja o adekwatności stwierdzająca odpowiedni stopień ochrony albo standardowe klauzule umowne. W określonych przypadkach potrzebna będzie także dodatkowa ocena ryzyka transferu.

Najczęstsze błędy w ochronie danych w logistyce

Brak analizy ról kontrahentów. Organizacja nie ustala, czy przewoźnik, spedytor lub dostawca systemu działa jako administrator czy procesor.

Brak wymaganych umów powierzenia. Podmiot przetwarza dane w imieniu firmy, ale strony nie zawarły umowy zgodnej z art. 28 RODO.

Monitoring GPS bez odpowiedniego wdrożenia. Pracodawca nie określił zasad monitoringu lub nie poinformował pracowników w wymaganym terminie.

Nadmierne śledzenie kierowców. System zbiera więcej danych niż wymaga cel, albo obejmuje również czas prywatny.

Łączenie różnych celów przetwarzania. Firma wykorzystuje dane z tachografu i GPS bez odrębnej analizy podstaw oraz zakresu.

Nieograniczony dostęp do danych. Zbyt wiele osób może przeglądać informacje w aplikacjach, dokumentach lub systemach operacyjnych.

Nieskuteczny system upoważnień. Organizacja nie zapewnia prawidłowego nadawania, aktualizowania i odbierania dostępu.

Pomijanie transferów poza EOG. Firma nie weryfikuje zagranicznych dostawców platform, chmury lub usług wsparcia.

RODO w firmie transportowej — praktyczna checklista

• Zinwentaryzuj procesy przetwarzania dotyczące kierowców, odbiorców, kontrahentów i systemów.
• Określ cele i podstawy prawne dla poszczególnych kategorii danych.
• Sprawdź zasady monitoringu GPS oraz wymagania wynikające z Kodeksu pracy.
• Poinformuj pracowników o monitoringu w odpowiednim terminie i zakresie.
• Oceń proporcjonalność monitoringu i możliwość ograniczenia zbierania danych poza pracą.
• Ustal zasady przetwarzania danych z tachografów i kart kierowcy.
• Określ okresy retencji zgodnie z właściwymi przepisami i celami przetwarzania.
• Przeanalizuj role przewoźników, spedytorów i dostawców usług.
• Zawrzyj wymagane umowy powierzenia i zweryfikuj ich rzeczywiste wykonywanie.
• Ureguluj udostępnianie danych kierowców klientom, platformom i kontrahentom.
• Wdróż odpowiednie środki bezpieczeństwa oraz skuteczny system upoważnień.
• Sprawdź, czy dochodzi do transferów poza EOG i zastosuj wymagane mechanizmy.
• Przygotuj odpowiednie klauzule informacyjne dla kierowców, odbiorców i innych osób.
• Uwzględnij procesy w rejestrze czynności przetwarzania i regularnie aktualizuj dokumentację.

Potrzebujesz dostosować firmę transportową do RODO?

Transport i logistyka wymagają połączenia ochrony danych z codzienną praktyką operacyjną. Szczególne znaczenie mają monitoring kierowców, przepływ danych pomiędzy podmiotami oraz bezpieczeństwo całego łańcucha logistycznego.

W Kancelarii Radcowskiej dr Joanny Maniszewskiej-Ejsmont wspieramy firmy transportowe i logistyczne w porządkowaniu procesów przetwarzania danych. Pomagamy ocenić podstawy prawne, ustalić role kontrahentów oraz przygotować wymagane umowy powierzenia.

Wspieramy również organizacje we wdrażaniu monitoringu GPS zgodnego z RODO i prawem pracy. Przygotowujemy dokumentację, analizujemy ryzyka oraz pomagamy dobrać odpowiednie środki bezpieczeństwa.