Fac-simile GPS-personvernerklæring for ansatte (mal 2026)

Mandag morgen, klokka 07:45. En av montørene dine ringer fra byggeplassen: han har hørt at appen registrerer posisjonen hans, og han vil vite om det er lov. Du vet at det er lov, men du har ikke et dokument som beviser det. Og akkurat da blir det som var et fornuftig teknologivalg, til et juridisk problem.

Personvernerklæringen om geolokalisering av ansatte er ikke noe du kan hoppe over. Det er en plikt som følger av GDPR, artikkel 13 og 14, svart på hvitt, og gjennom EØS-avtalen gjelder de samme reglene i Norge. Bruker du en app med GPS til stemplinger, oppdragsstyring eller oppmøtekontroll, må du gi hver enkelt ansatt et skriftlig dokument. Før du slår på systemet, ikke etter at noen har begynt å klage.

Hva Datatilsynet sier om geolokalisering av arbeidstakere

Datatilsynet har flere ganger tatt stilling til sporing av ansatte via mobiltelefon, og hovedpoenget er det samme hver gang: arbeidsgiveren kan samle inn posisjonsdata, men bare når det er forholdsmessig, åpent og begrenset til det strengt nødvendige. I praksis betyr det tre ting. Det første, ingen løpende sporing, posisjonen registreres ved starten og slutten av vakten, ikke hvert femte minutt. Det andre, den ansatte skal vite nøyaktig hva som samles inn, hvorfor, hvor lenge og hvem som får se det. Det tredje, dataene kan ikke brukes til andre formål enn de som er oppgitt.

Alt dette må stå skriftlig. Personvernerklæringen er dokumentet som formaliserer det, og uten den blir selv et fullt lovlig system noe som kan bestrides. Kommer det et tilsyn, fra arbeidstilsynsmyndighetene eller fra Datatilsynet selv, er det første dokumentet de ber om nettopp dette.

De 7 obligatoriske punktene i GPS-personvernerklæringen

GDPR gir lite rom for tolkning når det gjelder hva erklæringen skal inneholde. Artikkel 13 lister opp det den behandlingsansvarlige plikter å opplyse om, og for geolokalisering av ansatte blir dette til sju konkrete punkter. Det første er identiteten til den behandlingsansvarlige, altså deg som virksomhet, med fullstendige kontaktopplysninger. Det andre er kontaktopplysningene til personvernombudet, dersom du har utpekt et. Det tredje er de konkrete formålene med behandlingen, hvorfor du samler inn GPS-posisjonen, og det holder ikke å skrive “av hensyn til driften”, du må være presis: oppmøteregistrering, oppdragsstyring, verifisering av arbeid ute hos kunden, hvert formål må oppgis. Det fjerde er det rettslige grunnlaget, som for de fleste små bedrifter er arbeidsgiverens berettigede interesse, men det må begrunnes. Det femte er hvem som mottar dataene, hvem som får tilgang, inkludert eventuelle skyleverandører. Det sjette er lagringstiden, hvor lenge du beholder GPS-koordinatene, ut fra prinsippet om dataminimering. Det sjuende er den ansattes rettigheter: innsyn, retting, sletting, begrensning, protest, dataportabilitet og klage til Datatilsynet.

Det høres langt ut. I virkeligheten, med en godt strukturert mal, er det et dokument på to sider. La oss se hvordan.

---

Fac-simile GPS-personvernerklæring, mal 2026

Under finner du en komplett mal, oppdatert etter Datatilsynets føringer og i tråd med GDPR. Tilpass den til din virksomhet ved å bytte ut feltene i hakeparentes.

PERSONVERNERKLÆRING FOR BEHANDLING AV PERSONOPPLYSNINGER
Geolokalisering via mobil enhet i virksomheten
i henhold til art. 13 og 14 i EUs personvernforordning 2016/679 (GDPR), gjeldende i Norge gjennom EØS-avtalen og personopplysningsloven

Behandlingsansvarlig: [Foretaksnavn], med forretningsadresse i [adresse], organisasjonsnummer [nummer], ved daglig leder [fornavn etternavn]. Kontakt: [e-post/telefon].

Personvernombud (DPO): [Navn / ekstern virksomhet], kan kontaktes på [e-post ombud]. (Skriv “ikke utpekt” dersom det ikke er obligatorisk ut fra virksomhetens størrelse.)

Formål med behandlingen: Geolokaliseringsdataene samles inn utelukkende for: (a) registrering av oppmøte ved inn- og utstempling på arbeidsstedene, (b) verifisering av utført arbeid hos kunder, (c) operativ styring av oppdrag og tildelinger ute i felt. Posisjonsdata hentes kun i selve stemplingsøyeblikket (start og slutt på vakt/oppdrag) og ikke løpende.

Rettslig grunnlag: Behandlingen bygger på den behandlingsansvarliges berettigede interesse (art. 6 nr. 1 bokstav f, GDPR) i forsvarlig organisering av arbeidet og vern av virksomhetens verdier, samt på oppfyllelse av arbeidsavtalen (art. 6 nr. 1 bokstav b, GDPR). Interesseavveiningen er gjort med utgangspunkt i Datatilsynets føringer om kontrolltiltak i arbeidslivet.

Opplysninger som behandles: GPS-koordinater (breddegrad, lengdegrad) på stemplingstidspunktet, dato og klokkeslett, enhetens identifikator, den ansattes identifikator.

Mottakere av opplysningene: Opplysningene er kun tilgjengelige for [autoriserte roller i virksomheten: f.eks. daglig leder, driftsansvarlig]. Dataene lagres hos [navn på skyleverandør/server], med beliggenhet i [land]. De overføres ikke til tredjeland utenfor Det europeiske økonomiske samarbeidsområdet (EØS).

Lagringstid: Geolokaliseringsdataene lagres i det tidsrommet som er strengt nødvendig for formålet, på [N] måneder fra innsamlingstidspunktet, deretter slettes de på en måte som ikke kan reverseres. (Prinsippet om dataminimering gjelder: lagringstiden skal ikke være lengre enn nødvendig, og Datatilsynet legger til grunn en tilsvarende vurdering.)

Den registrertes rettigheter: Den ansatte har rett til å få innsyn i egne personopplysninger, få dem rettet eller slettet, kreve at behandlingen begrenses, protestere mot behandlingen og be om dataportabilitet. For å utøve disse rettighetene kan den behandlingsansvarlige kontaktes på [e-post]. Den ansatte har også rett til å klage til Datatilsynet (www.datatilsynet.no).

Følger av å ikke gi opplysningene: Utlevering av geolokaliseringsdataene er nødvendig for å gjennomføre arbeidsforholdet på de driftsmåtene som er forutsatt. Nekting kan medføre at den ansatte ikke kan settes til oppgaver som krever oppmøteregistrering ute i felt.

Dato: ___/___/______
Den ansattes signatur som bekreftelse på at innholdet er lest: ______________________________

Slik bruker du malen i praksis

Skriv den ut, fyll ut feltene i hakeparentes, og la hver ansatt signere før du slår på GPS-systemet. Ta vare på en signert kopi, digitalt eller på papir, det spiller ingen rolle, så lenge den kan hentes frem ved et tilsyn. Legger du til nye formål for behandlingen (for eksempel at du begynner å bruke GPS-dataene også til å regne ut kjøregodtgjørelse), må du oppdatere erklæringen og hente inn en ny signatur.

En feil som går igjen: lederen leverer erklæringen et halvår etter at appen ble tatt i bruk. Da er de foregående seks månedene teknisk sett udekket. Datatilsynet kan bestride behandlingen for hele perioden uten erklæring, selv om selve systemet er lovlig. Rekkefølgen er alltid den samme: først dokumentet, så aktiveringen.

Har du noen gang slått på et system og tenkt på papirene etterpå? Det er mer vanlig enn du tror, og den gode nyheten er at det ordner seg på en ettermiddag.

Leter du etter en løsning som allerede har med den nødvendige dokumentasjonen, personvernerklæring, protokoll over behandlingsaktiviteter og GDPR-klar oppsett, se hvordan GeoTapp fungerer. Verktøyet registrerer posisjonen kun ved stempling, ikke løpende, og er bygget for å følge Datatilsynets føringer helt fra installasjonen.

Se for deg at neste ansatte du inviterer, signerer GDPR-erklæringen på tretti sekunder, arkivert uten et eneste ekstra ark.

Dette fac-similet gjelder for Norge. Jobber du også i andre europeiske land, finner du i verktøyet GPS på arbeidstakere i EU pliktene land for land, og nå også et fac-simile av personvernerklæringen du kan laste ned gratis på hvert enkelt lands side, i språket siden er skrevet på (fri nedlasting, e-post er valgfritt og dukker opp etterpå).