Mall för GPS-integritetspolicy till anställda (2026)

Måndag morgon, 07:45. En av dina montörer ringer från bygget: han har fått veta att appen registrerar positionen, och han vill veta om det är lagligt. Du vet att det är det, men du har inget papper som visar det, och just då förvandlas ett vettigt tekniskt val till ett juridiskt problem.

En integritetspolicy om geolokalisering av anställda är inget frivilligt tillägg. Det är en skyldighet enligt GDPR, artiklarna 13 och 14, svart på vitt. Använder du en app med GPS för stämpling, uppdragshantering eller närvarokontroll, ska varje anställd få ett skriftligt dokument, innan systemet slås på, inte efter att någon börjat undra.

Vad IMY säger om geolokalisering av arbetstagare

Integritetsskyddsmyndigheten, IMY, har vid flera tillfällen tagit ställning till positionsdata om anställda via mobiltelefon. Kärnan är den här: en arbetsgivare får samla in positionsuppgifter, men bara om det är proportionerligt, öppet redovisat och begränsat till det som verkligen behövs. Översatt till praktik betyder det tre saker, dels att det inte får ske någon löpande spårning, positionen läses av vid arbetspassets början och slut, inte var femte minut, dels att den anställde ska veta exakt vad som samlas in, varför, hur länge och vem som ser det, och dels att uppgifterna inte får användas för andra ändamål än de som angetts.

Allt det här ska finnas i skrift, och integritetspolicyn är dokumentet som formaliserar det. Utan policy blir även ett fullt lagligt system möjligt att ifrågasätta, och om en granskning kommer, från Arbetsmiljöverket eller från IMY, är det första de ber om just det pappret.

De 7 obligatoriska delarna i en GPS-policy

GDPR lämnar inget utrymme för tolkning kring vad policyn ska innehålla. Artikel 13 räknar upp de uppgifter som den personuppgiftsansvarige är skyldig att lämna, och för geolokalisering av anställda blir det sju konkreta punkter. Först identiteten på den personuppgiftsansvarige, alltså du som företag, med fullständiga kontaktuppgifter, sedan kontaktuppgifter till dataskyddsombudet om du har utsett ett, därefter de specifika ändamålen med behandlingen, alltså varför du samlar in GPS-positionen, och det räcker inte att skriva “av verksamhetsskäl” utan du ska vara precis, vidare den rättsliga grunden, som för de flesta mindre företag är arbetsgivarens berättigade intresse men som måste motiveras, sedan mottagarna av uppgifterna, vem som får tillgång inklusive eventuella molnleverantörer, därefter lagringstiden, hur länge du sparar koordinaterna enligt principen om uppgiftsminimering, och slutligen den anställdes rättigheter, alltså tillgång, rättelse, radering, begränsning, invändning, dataportabilitet och klagomål till IMY.

Det låter långt, men med en välbyggd mall blir det ett dokument på två sidor. Så här ser det ut.

---

Mall för GPS-integritetspolicy, version 2026

Det du hittar här nedanför är en komplett mall, i linje med IMY:s vägledning och förenlig med GDPR. Anpassa den till ditt företag genom att byta ut fälten inom hakparentes.

INFORMATION OM BEHANDLING AV PERSONUPPGIFTER
Geolokalisering via mobil enhet i tjänsten
enligt art. 13-14 i EU:s förordning 2016/679 (GDPR)

Personuppgiftsansvarig: [Företagsnamn], med säte i [adress], organisationsnummer [nummer], företrätt av den behöriga firmatecknaren [namn efternamn]. Kontakt: [e-post/telefon].

Dataskyddsombud (DPO): [Namn efternamn / externt bolag], nås på adressen [e-post DPO]. (Ange “ej utsett” om det inte krävs för verksamheten.)

Ändamål med behandlingen: Positionsuppgifterna samlas in uteslutande för att (a) registrera närvaro vid in- och utpassering på arbetsplatserna, (b) bekräfta genomförandet av insatser hos kunder, och (c) sköta den operativa hanteringen av uppdrag och tilldelningar i fält. Positionen hämtas endast vid stämplingen (arbetspassets eller insatsens början och slut) och aldrig löpande.

Rättslig grund: Behandlingen vilar på den personuppgiftsansvariges berättigade intresse (art. 6.1 f i GDPR) av en korrekt organisation av arbetet och skydd av företagets tillgångar, samt på fullgörandet av anställningsavtalet (art. 6.1 b i GDPR). Intresseavvägningen har gjorts med hänsyn till IMY:s vägledning om övervakning på arbetsplatsen.

Uppgifter som behandlas: GPS-koordinater (latitud, longitud) vid stämpling, datum och tid, enhetens identifierare, operatörens identifierare.

Mottagare av uppgifterna: Uppgifterna är åtkomliga endast för [behöriga roller inom företaget: t.ex. ägare, driftansvarig]. Uppgifterna lagras hos [molnleverantörens/serverns namn], med säte i [land]. De överförs inte till tredjeland utanför Europeiska ekonomiska samarbetsområdet.

Lagringstid: Positionsuppgifterna sparas endast så länge det är strikt nödvändigt, som mest [N] månader från insamlingsdatum, varefter de raderas oåterkalleligt. (Enligt principen om uppgiftsminimering ska tiden hållas så kort som ändamålet tillåter, om inte särskild lagstiftning kräver annat.)

Den registrerades rättigheter: Den anställde har rätt att få tillgång till sina personuppgifter, få dem rättade eller raderade, begränsa behandlingen, invända mot behandlingen och begära dataportabilitet. För att utöva dessa rättigheter går det att kontakta den personuppgiftsansvarige på adressen [e-post]. Den anställde har dessutom rätt att lämna in klagomål till Integritetsskyddsmyndigheten (imy.se).

Följder av att inte lämna uppgifterna: Att lämna positionsuppgifterna är nödvändigt för att kunna sköta anställningen enligt de operativa former som gäller. Ett nekande kan innebära att den anställde inte kan tilldelas arbetsuppgifter som kräver närvaroregistrering i fält.

Datum: ___/___/______
Den anställdes underskrift för mottagen information: ______________________________

Så använder du mallen i praktiken

Skriv ut den, fyll i fälten inom hakparentes och låt varje anställd skriva under innan du slår på GPS-systemet. Spara en undertecknad kopia, digital eller på papper spelar ingen roll, så länge den går att ta fram vid en granskning. Om du lägger till nya ändamål för behandlingen (till exempel börjar använda GPS-uppgifterna även för att räkna ut milersättning) ska policyn uppdateras och en ny underskrift samlas in.

Ett misstag som dyker upp ofta: ägaren delar ut policyn ett halvår efter att appen har slagits på, och då står de föregående sex månaderna tekniskt sett utan täckning. IMY kan ifrågasätta behandlingen för hela perioden utan policy, även om systemet i sig är lagligt. Ordningen är alltid densamma, först dokumentet, sedan aktiveringen.

Har det redan hänt dig att du slagit på ett system och tänkt på pappersarbetet efteråt? Det är vanligare än man tror, och det goda är att det går att ordna på en eftermiddag.

Söker du en lösning som redan har den förenliga dokumentationen inbyggd, policy, register över behandlingar och en GDPR-redo uppsättning, se hur GeoTapp fungerar. Systemet läser av positionen bara vid stämplingen, aldrig löpande, och det är utvecklat för att följa IMY:s vägledning redan från installationen.

Tänk dig nästa anställda du bjuder in som skriver under GDPR-policyn på trettio sekunder, arkiverad utan ett enda extra papper.

Den här mallen gäller för Sverige. Jobbar du även i andra europeiska länder hittar du i verktyget GPS på arbetstagare i EU skyldigheterna land för land, och nu även en färdig mall för integritetspolicyn som du laddar ner gratis på varje lands sida (fri nedladdning, e-posten är valfri och dyker upp först efteråt).