Een transportbedrijf verwerkt gegevens van chauffeurs, verzenders, ontvangers en soms voorbijgangers. Een ritplanning, tachograaf, GPS-volgsysteem en bezorgfoto kunnen tegelijk over dezelfde rit gaan, maar hebben verschillende doelen en bewaartermijnen. De AVG laat logistieke registratie toe wanneer de verwerking een passende grondslag heeft, noodzakelijk is en niet verder gaat dan het doel. Zij maakt ‘de wagen kunnen volgen’ niet vanzelf tot een recht om de chauffeur continu te monitoren. Deze gids helpt per gegevensstroom een keuze te maken en de keten van verlader, vervoerder, charter en softwareleverancier te beschrijven.
Belangrijkste punten
- Bepaal per stroom wie doel en wezenlijke middelen vaststelt. Een vervoerder is voor personeel vaak verantwoordelijke, maar voor ontvangergegevens niet automatisch altijd verwerker van de verlader.
- GPS is een personeelsvolgsysteem zodra bestuurders herleidbaar zijn. De AP vraagt noodzaak, grondslag, informatie, belangenafweging en waar toepasselijk ondernemingsraadinstemming en DPIA.
- De Europese tachograafregels hebben hun eigen doel en bewaarplicht. Artikel 33 lid 2 van Verordening 165/2014 verlangt voor de genoemde registraties minstens één jaar bij de vervoersonderneming; dat zegt niets over een universele termijn voor ruwe GPS-data.
- Camera’s, bezorgfoto’s en track-and-trace-links kunnen gegevens van derden bevatten. Beperk beeld, toegang en bewaartijd.
- Internationale doorgifte hangt van de werkelijke ontvanger en toegang buiten de EER af, niet alleen van de vestigingsplaats van een moederbedrijf.
Teken eerst de keten en de rollen
Een opdrachtgever geeft afleveradressen door, een vervoerder plant en voert ritten uit, een charter neemt een deel over en een IT-dienst levert een transportmanagementsysteem. Vraag per verwerking wie beslist welke gegevens worden verzameld, voor welk doel zij worden gebruikt, hoe lang zij blijven en welke partij zelfstandig met de ontvanger communiceert. De vervoerder kan voor de uitvoeringsadministratie eigen doelen en verplichtingen hebben. Hij kan voor een duidelijk afgebakende taak ook namens de opdrachtgever handelen. Een contractueel etiket ‘verwerker’ maakt een partij niet tot verwerker wanneer zij eigen doelen en wezenlijke middelen bepaalt. De gids over verantwoordelijke en verwerker helpt die rolkaart opstellen.
De uitleg van de artikel 6-grondslagen helpt wettelijke plicht, overeenkomst en gerechtvaardigd belang per stroom te onderscheiden. Voor eigen chauffeursgegevens is de werkgever in beginsel verantwoordelijke. Voor een externe bezorgapp kan de leverancier verwerker zijn als hij uitsluitend instructies volgt; een platform dat ontvangers zelf profileert heeft mogelijk een andere rol. Sluit waar artikel 28 van toepassing is een schriftelijk contract of andere bindende rechtshandeling krachtens Unie- of lidstaatrecht. Die afspraken moeten onder meer instructies, beveiliging, onderverwerkers, bijstand en exit regelen. Een charter is niet automatisch een subverwerker: zijn feitelijke autonomie kan zelfstandige verantwoordelijkheid meebrengen. De artikel 28-gids biedt de contractuele vragen.
Neem de stromen op in het verwerkingsregister voor zover artikel 30 geldt. De onder-250-uitzondering is per activiteit beperkt: niet-incidentele verwerking, de wettelijke risicovoorwaarde en artikel 9- of 10-gegevens kunnen haar uitsluiten. Dagelijkse bezorg- en personeelsprocessen zijn niet-incidenteel. Documenteer doel, grondslag, categorieën, ontvangers en termijn per stroom, in plaats van één regel ‘transportdata’. Een aparte gegevenskaart voor chauffeur en ontvanger voorkomt dat hun rechten en informatieplichten verdwijnen in hetzelfde logistieke systeem.
GPS: bedrijfsdoel versus personeelscontrole
Een track-and-tracesysteem kan routes optimaliseren, diefstal helpen onderzoeken of een klant een bezorgvenster geven. Zodra de locatie tot een chauffeur herleidbaar is, verwerkt u personeelsgegevens, ook als de kaart alleen een voertuignummer toont. Leg het doel vooraf vast. Bepaal welke nauwkeurigheid en frequentie nodig zijn: voor een bezorgvenster kan een verwachte aankomsttijd volstaan; seconde-voor-seconde geschiedenis van iedere pauze is dan moeilijker te rechtvaardigen. Vraag of live locatie voor alle planners nodig is, of alleen voor een beperkt team en alleen tijdens een actieve rit.
De AP noemt gps-trackers in bedrijfswagens expliciet bij controle van werknemers. Zij verlangt een grondslag, noodzaak en een belangenafweging waarin de belangen van werknemers meetellen. Toestemming is in de arbeidsrelatie doorgaans geen solide oplossing omdat weigeren moeilijk is. Gerechtvaardigd belang kan onder voorwaarden passen bij een specifiek doel, maar is geen standaardantwoord voor continue controle. Bepaal welke wettelijke verplichting, indien aanwezig, werkelijk locatie vraagt; de tachograafplicht is niet hetzelfde als een algemene GPS-plicht. Bekijk de actuele AP-voorwaarden voor werknemerscontrole en de gids over AVG voor werkgevers.
Een systeem dat geschikt is om aanwezigheid, gedrag of prestaties te controleren kan een personeelsvolgsysteem zijn, ook als u zegt het voorlopig alleen voor logistiek te gebruiken. De AP beschrijft het instemmingsrecht van de ondernemingsraad voor een regeling voor zo’n systeem op grond van artikel 27 lid 1 onder l WOR. Onderzoek vooraf of uw organisatie een OR heeft en hoe de regeling eruitziet. Bij grootschalige of stelselmatige monitoring van werknemers noemt de AP een voorafgaande DPIA. Een kleine, incidentele beveiligingsfunctie is niet automatisch aan exact dezelfde DPIA-plicht onderworpen; artikel 35 blijft een risicotoets. De DPIA-stappen helpen bij de beslissing.
Scheid werkrit en privégebruik
Als een bedrijfsvoertuig privé mag worden gebruikt, stel vast hoe registratie buiten werktijd wordt gestopt of afgeschermd. Een fysieke schakelaar, planningstatus of technische privacystand kan een oplossing zijn; bewijs dat hij werkt. Maak geen beleid ‘chauffeurs mogen het systeem uitzetten’ terwijl de server achteraf toch exacte routes opslaat. Informeer over uitzonderingen, bijvoorbeeld een actieve diefstalmelding van een voertuig, en beperk wie een privacystand kan doorbreken. Behandel de pauze van een chauffeur niet automatisch als productiviteitsafwijking. Een nieuwe optimalisatiefunctie mag bestaande GPS-gegevens niet zonder doel- en grondslagtoets hergebruiken.
Stel voor live zicht, ritgeschiedenis en incidentdossiers verschillende bewaartermijnen vast. Een planner kan een locatie nu nodig hebben zonder dat hij een maand later alle minuten van een rit moet terugzien. Voor facturatie kan een aflevermoment of routebewijs voldoende zijn. Verwijder ruwe trajecten wanneer het doel bereikt is, tenzij een concrete andere grond bestaat. De gids over bewaartermijnen helpt die keuze documenteren. Houd een log van wie een individuele route opvraagt en waarom; dat ontmoedigt informeel meekijken.
Tachograafgegevens hebben een eigen wettelijk doel
Verordening (EU) 165/2014 regelt tachografen voor vervoer dat binnen haar toepassingsbereik valt. Artikel 33 verplicht vervoersondernemingen om bestuurders over het gebruik te instrueren en bepaalde registratiebladen en afdrukken ten minste één jaar na gebruik te bewaren; de Commissie licht toe dat tachograafregistraties voor inspectie minstens één jaar bij de onderneming blijven. Controleer toepassingsbereik, huidige technische eisen en eventuele andere verplichtingen voor uw vloot. De tachograafplicht legitimeert niet dat iedere telematica-aanbieder deze gegevens voor eigen chauffeurscores gebruikt. Het ene jaar mag ook niet blind op alle GPS-, camera- en bezorggegevens worden geplakt.
Regel wie tachograafgegevens voor naleving en planning bekijkt, en geef chauffeurs de toegang die de sectorregels en AVG hun bieden. Bewaar registraties beveiligd en voorkom dat een managementdashboard ritten- en rusttijden omzet in een permanente ranglijst zonder aparte beoordeling. De Europese Commissie over rij- en rusttijden noemt de bewaarroutes en verwijst naar de verordening. Als voor loon- of arbeidsadministratie een andere plicht geldt, leg die per kopie en doel vast; ‘tachograafdata’ is niet één uniforme opslagbak.
Boordcamera’s en bezorgfoto’s
Een naar buiten gerichte dashcam kan kentekens, voetgangers en adresinformatie vastleggen. Een cabinecamera volgt de chauffeur veel directer. Bepaal voor beide het doel, de noodzaak, de reikwijdte, alternatieven en de grondslag. Een opname van elk gesprek of iedere pauze vraagt een zwaardere onderbouwing dan een gericht veiligheidsincident. De AP zegt voor cameratoezicht bij organisaties dat beelden niet langer dan noodzakelijk mogen blijven; de vierwekentermijn uit gemeentelijk cameratoezicht op openbare plaatsen is geen algemene norm voor een private transportcamera. Bewaar een relevant fragment bij een concreet incident zolang daarvoor nodig, niet het hele archief. De gids over cameratoezicht verdiept dit.
Een bezorgfoto kan nuttig zijn om aflevering te bevestigen, maar beperk de compositie: maak niet standaard de bewoner, kinderen, interieur of buurwoning zichtbaar. Een foto van een pakket op een neutrale plek kan soms volstaan; in andere gevallen is een handtekening of tijdstempel geschikter. Beperk toegang voor chauffeurs, klantenservice en opdrachtgever. Voorkom dat de foto met een makkelijk te raden URL publiek toegankelijk is. Stel een termijn voor klachten en bewijs vast, en verwijder beeld daarna. Informeer de ontvanger in de bezorgcommunicatie, niet pas als hij inzage vraagt.
Track-and-trace-links verdienen dezelfde aandacht. Een URL met naam, adres of toegangstoken kan worden doorgestuurd of in een browsergeschiedenis blijven staan. Toon alleen de benodigde afleverstatus en laat de link verlopen na afloop. Een klant hoeft de live positie van een specifieke chauffeur niet te zien als een geschatte aankomsttijd het doel bereikt. Test met een verlopen en een doorgestuurde link. De beveiligingsvereisten van artikel 32 helpen de passende toegangscontrole kiezen.
Leveringsgegevens in de keten
De verzender geeft naam, adres en soms telefoonnummer van een ontvanger aan de vervoerder. Vraag of het telefoonnummer echt nodig is voor de gekozen bezorgroute. Een bezorginstructie kan onbedoeld gevoelige gegevens bevatten, bijvoorbeeld ‘medische apparatuur bij de achterdeur’; maak vrije tekst niet onbeperkt toegankelijk. Beperk de gegevens voor charters tot de rit die zij uitvoeren. Leg vast of een ontvangercontact na aflevering nodig is voor klachten of retouren, en verwijder verdergaande profielen. Informeer ontvangers over de betrokken verantwoordelijken en geef een werkbare route voor rechten.
Een pakket dat verkeerd wordt afgeleverd of een publieke track-and-trace-link kan een inbreuk in persoonsgegevens zijn. De vervoerder en opdrachtgever moeten dan per rol de feiten en meldbeslissing bepalen. Een verwerker informeert zijn verantwoordelijke onverwijld; de verantwoordelijke beoordeelt artikel 33 en waar nodig artikel 34. Niet elke verloren doos is een AVG-datalek als geen persoonsgegevens betroffen zijn, en niet ieder datalek vraagt AP-melding. De procedure voor datalekken helpt de interne afhandeling organiseren.
Internationale stromen en softwareleveranciers
Bij grensoverschrijdend vervoer gaan adressen naar buitenlandse depots en soms naar een ondersteuningscentrum buiten de EER. Een doorgifte buiten de EER vraagt een toepasselijke route onder hoofdstuk V AVG, naast de gewone grondslag en beveiliging. Kijk naar daadwerkelijke toegang en ontvanger; een Amerikaans moederbedrijf bewijst op zichzelf niet dat elke ritdata doorgaat naar de VS, terwijl een EU-datacenter externe supporttoegang niet uitsluit. Een adequaatheidsbesluit of standaardcontractbepalingen kan in een concreet geval passen, maar controleer reikwijdte en eventuele aanvullende maatregelen. De gids internationale doorgifte helpt bij het dossier.
Voor een TMS, telematica of boordcamera-cloud beoordeelt u of de partij verwerker, zelfstandige verantwoordelijke of in een gemengd model actief is. Vraag naar toegang, onderverwerkers, incidentcontact, export en verwijdering. Een verwerkersovereenkomst moet de feitelijke dienst beschrijven en artikel 28-inhoud bevatten. Als de leverancier na einde van de dienst gegevens teruggeeft, moet hij bestaande kopieën ook wissen, tenzij het toepasselijke Unie- of lidstaatrecht hem tot bewaren verplicht; back-ups vragen een realistische technische regeling zonder fictieve onmiddellijke termijn. Een contract bewijst niet dat de ingestelde locatie- of bewaarbeperking in de software echt werkt: voer een proefrit met testgegevens uit.
Een uitvoerbare controle per ritproces
Neem één gewone levering en volg de gegevens van boeking tot afhandeling. Welke velden ziet de planner, de chauffeur, de ontvanger, de charter en de klantenservice? Welke systeemlog bewaart de volledige route, en welke alleen de aflevertijd? Kan een manager na werktijd live naar één chauffeur kijken? Wat gebeurt er wanneer het voertuig privé wordt gebruikt? Controleer vervolgens een uitzondering, zoals een mislukte levering of ongeval. Schrijf per systeem en partij op welke gegevens werkelijk nodig zijn en verwijder een overbodige kopie. Zo wordt de rolkaart een praktische test, geen juridische schets zonder operationele waarde.
Herhaal de controle na een nieuwe sensor of optimalisatiefunctie. Leg vast welke aannames zijn veranderd, wie een DPIA of OR-traject beoordeelt en hoe chauffeurs en ontvangers worden geïnformeerd. Een organisatie met enkele voertuigen en een lokale planning kan een andere oplossing nodig hebben dan een internationaal netwerk. De AVG vraagt een risicogebaseerde keuze, geen verplichte softwarecategorie. De gids over privacy by design biedt vragen voor nieuwe technische functies.
FAQ
Mag ik mijn chauffeurs continu met GPS volgen?
Alleen als een concreet doel, passende grondslag, noodzaak en belangenafweging dit dragen. De AP verlangt extra zorg bij werknemersmonitoring; een OR-regeling en DPIA kunnen vereist zijn. Beperk frequentie, toegang en bewaring, en regel privégebruik. Een voertuig kunnen vinden is geen algemene toestemming om ieder gedrag te analyseren.
Is een cabinecamera altijd verboden of altijd DPIA-plichtig?
Nee. Zij is zeer ingrijpend en vraagt een sterke noodzakelijkheidstoets, passende grondslag, informatie en mogelijk OR-instemming. Een DPIA is vooraf vereist wanneer de verwerking waarschijnlijk hoog risico oplevert; de AP noemt grootschalige of stelselmatige werknemersmonitoring expliciet. De concrete camera-inrichting en doel bepalen de toets, niet alleen de plek van montage.
Hoe lang bewaar ik tachograaf- en GPS-gegevens?
Voor de onder Verordening 165/2014 bedoelde tachograafregistraties geldt voor de vervoersonderneming ten minste één jaar na gebruik. Een ruwe GPS-geschiedenis heeft niet daardoor dezelfde wettelijke termijn. Stel per doel en gegevenscategorie een eigen onderbouwde duur vast, naast eventuele andere toepasselijke plichten.
Is iedere charter of TMS-leverancier verwerker?
Nee. De rol volgt de feitelijke doelen en wezenlijke middelen. Een TMS kan persoonsgegevens namens u verwerken, maar een charter kan voor eigen vervoers- of wettelijke doelen verantwoordelijk zijn. Leg afspraken passend bij die rol vast; gebruik artikel 28 wanneer er werkelijk verwerking namens een verantwoordelijke plaatsvindt.
Mag een klant de live route van een chauffeur zien?
Alleen voor zover dit noodzakelijk en rechtmatig is voor het concrete leverdoel. Een geschatte aankomsttijd of pakketstatus kan minder ingrijpend zijn. Beperk de zichtbare gegevens, laat links verlopen en voorkom dat een doorgestuurde URL een individueel personeelsprofiel onthult.
Primaire bronnen: AVG op EUR-Lex, Verordening 165/2014 over tachografen, Europese Commissie over rij- en rusttijden, AP-voorwaarden voor werknemerscontrole en AP over personeelsvolgsystemen en OR.