Norges Taxiforbund støtter nye EU-regler for grensekryssende personvernsaker

Når en kunde bestiller drosje via en app, registreres opplysninger om bestillingen, turen og betalingen. Det samme gjelder informasjon om sjåførene og arbeidet deres. Hvordan disse opplysningene brukes og beskyttes, er derfor relevant for både passasjerer og drosjenæringen.

Siden GDPR begynte å gjelde i 2018, har erfaringene vist behov for felles regler for hvordan grensekryssende personvernsaker behandles. Når slike saker gjelder virksomheter som opererer i flere land, er det ofte datatilsynet i landet der virksomheten har sitt europeiske hovedkontor, som får hovedansvaret. Dette tilsynet må samtidig samarbeide med myndighetene i andre berørte land, noe som kan gjøre saksbehandlingen mer krevende. EU har derfor vedtatt en ny forordning som skal gi tydeligere rammer for samarbeidet mellom datatilsynene.

Felles regler for saksbehandlingen

Den nye EU-forordningen ble vedtatt i november 2025 og skal anvendes i EU fra 2. april 2027. I Norge er forordningen fortsatt til vurdering i EØS-systemet. Justis- og beredskapsdepartementet har sendt på høring et forslag om å gjennomføre reglene i norsk rett ved å ta dem inn i personopplysningsloven.

De nye reglene omfatter blant annet hvilke opplysninger en klage må inneholde, frister for saksbehandlingen, informasjonsutveksling mellom tilsynsmyndigheter og partenes rett til innsyn og til å uttale seg før det fattes vedtak.

Reglene skal gjøre saksbehandlingen mer forutsigbar og styrke samarbeidet mellom datatilsynene. De innebærer imidlertid ikke nye krav til hvordan virksomhetene skal behandle personopplysninger, men handler om hvordan tilsynsmyndighetene behandler slike saker.

Vårt svar på høringen

Norges Taxiforbund støtter gjennomføringen av forordningen i norsk rett. Vi mener at felles regler for saksbehandlingen kan gi drosjenæringen større forutsigbarhet og bidra til mer effektiv håndheving av personvernregelverket. Samtidig er det viktig å ivareta rettssikkerheten til dem som får personopplysningene sine behandlet.

Drosjenæringen består av drosjesjåfører, løyvehavere og drosjesentraler, og mange av virksomhetene er små med begrensede administrative ressurser. Det kan være krevende å sette seg inn i kompliserte regler og saksbehandlingsprosesser, særlig når en sak involverer myndigheter i flere land. Derfor må saksbehandlingen være forståelig og tilgjengelig, slik at aktørene i næringen kan ivareta rettighetene sine dersom de blir berørt av en grensekryssende personvernsak.

Norges Taxiforbund understreker derfor betydningen av oppdatert og lett tilgjengelig veiledning fra Datatilsynet. God veiledning kan gjøre det enklere for drosjesjåfører, løyvehavere og drosjesentraler å forstå hvilke rettigheter og plikter de har, og bidra til at personvernregelverket etterleves i praksis.

Eksempler fra drosjenæringen

Personvern er relevant både for internasjonale plattformselskaper og norske drosjesentraler. I drosjenæringen behandles opplysninger om blant annet sjåfører, passasjerer, bestillinger og kjøremønstre. Når selskaper opererer i flere land, kan også personvernsaker involvere flere lands tilsynsmyndigheter. Det gjør tydelige regler for samarbeid og saksbehandling viktig.

I mai 2026 ble MLU B.V., selskapet bak den europeiske versjonen av taxiappen Yango, ilagt en bot på 100 millioner euro av det nederlandske datatilsynet. Saken gjaldt overføring av personopplysninger om norske og finske sjåfører og kunder til Russland uten tilstrekkelig beskyttelse. Opplysningene omfattet blant annet kopier av førerkort, adresser, kontonumre, posisjonsdata og turhistorikk. Norske og finske personvernmyndigheter deltok i undersøkelsen.

Uber-sakene viser også hvordan personvernsaker kan gå på tvers av landegrensene. I 2020 klaget over 170 franske Uber-sjåfører på selskapets behandling av personopplysninger. Klagen omfattet blant annet overføring av opplysninger ut av EU og automatiserte beslutninger om å deaktivere sjåførkontoer. Fordi Uber har sitt europeiske hovedkontor i Nederland, ble saken behandlet av det nederlandske datatilsynet i samarbeid med det franske datatilsynet.

I 2024 fikk Uber en bot på 290 millioner euro for å ha overført personopplysninger om europeiske sjåfører til USA uten tilstrekkelig beskyttelse. Opplysningene omfattet blant annet drosjeløyver, posisjonsdata, bilder, betalingsinformasjon og identitetsdokumenter. I enkelte tilfeller var også helseopplysninger og informasjon om straffbare forhold omfattet.

I august 2026 fikk Uber en ny bot, denne gangen på nær 825 millioner euro. Det er den nest største boten som er ilagt etter GDPR på verdensbasis, kun overgått av Metas bot på 1,2 milliarder euro i 2023. Vedtaket i 2026 gjaldt en annen del av klagen, nemlig automatiserte beslutninger om å deaktivere sjåførkontoer, blant annet ved mistanke om svindel eller lave kundevurderinger, uten tilstrekkelig menneskelig vurdering. Tilsynet mente også at sjåførene ikke hadde fått god nok informasjon om beslutningene. Uber har anket begge vedtakene, og de rettslige prosessene pågår fortsatt.

Kontroll og tilsyn er avgjørende

Eksemplene viser hvorfor det er viktig med klare og forutsigbare regler for hvordan datatilsynene samarbeider, utveksler informasjon og behandler klager når flere land er involvert. Det er nettopp slike saksbehandlingsregler høringen gjelder. Samtidig er det viktig at regelverket følges opp i praksis, slik at brudd blir avdekket og håndtert på en god måte.

Det samme prinsippet må gjelde i drosjenæringen generelt. Enten det dreier seg om brudd på personvernregelverket eller yrkestransportloven, må myndighetene ha gode nok kontrollmuligheter og sørge for at regelbrudd får konsekvenser. Skal vi utvikle en bærekraftig og seriøs drosjenæring for fremtiden, må myndighetene sikre like konkurransevilkår og stille de samme grunnleggende kravene til alle aktører, uavhengig av størrelse, forretningsmodell eller hvor selskapet har sitt hovedkontor.