GPS sledenje v zasebnem avtomobilu s strani delodajalca

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje, če lahko delodajalec od delavca zahteva, da v svoj zasebni avtomobil namesti službeno GPS napravo.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 76. členom Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju ZVOPOKD), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Za uvedbo sistema GPS sledenja s strani delodajalca mora le ta najprej zagotoviti ustrezno in zakonito pravno podlago za obdelavo osebnih podatkov.

IP opozarja, da bi presoja dopustnosti namestitve sledilne GPS naprave v zasebno vozilo, katerega lastnik je posameznik (torej ne v službeno vozilo deloma v zasebni rabi) zahtevala nujno predhodno oceno učinkov. Gre namreč za povsem drugačno situacijo, kot so primeri, ko želi delodajalec namestiti GPS napravo na službeno vozilo, ki je deloma v zasebni uporabi posameznika. Delodajalec mora namreč zagotoviti ustrezno pravno podlago in predvideti ter izvesti vse ustrezne varovalke in poskrbeti tudi za ustrezno tehnično rešitev za zagotovitev varstva zasebnosti (npr. da se namesti zgolj za namen službene vožnje ne pa tudi za vse ostale vožnje). IP vnaprej o tem ne more odločati.

Ob tem primeru bi moral upravljavec pod zgoraj navedenimi pogoji poskrbeti še za:

·         ustrezno tehtanje o dopustnosti in utemeljenosti uvedbe take tehnologije;

·         informiranje posameznikov o obdelavi;

·         tako delovanje sistema, ki bo deloval zgolj takrat, ko je to nujno potrebno;

·         da se osebne podatke obdeluje zgolj za namen s katerim je bil tak ukrep vzpostavljen;

·         zavarovanje zbirke osebnih podatkov z ustreznimi organizacijskimi in tehničnimi ukrepi.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja, ne more pa v okviru mnenj presojati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. Pri presoji skladnosti ravnanja upravljavcev z vidika varstva osebnih podatkov je vedno ključen predvsem kontekst konkretne situacije, v kateri se obdelava osebnih podatkov izvaja; in sicer v vašem primeru od same namestitve naprave, namenov in uporabe takšne rešitve, torej predvsem od konkretnih okoliščin v smislu kakšnega dela in nalog opravlja zaposleni, ali obstaja možnost uporabe službenih vozil ali ne, ali gre morda za željo zaposlenega, da koristi zasebno vozilo in zato pogoji delodajalca ipd. Glede na to, da kontekst v vašem zaprosilu za mnenje ni jasno opredeljen niti IP v okviru neobvezujočega mnenja takšne presoje namesto upravljavca ne sme izvesti, podajamo v nadaljevanju le naša splošna opozorila in pojasnila v zvezi z vašim vprašanjem. IP bi namreč lahko tako presojo opravil zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Pri tem pa dodatno pojasnjujemo, da smo na temo uporabe GPS naprav že večkrat v okviru naših mnenj odgovorili, zato vas glede slednjega napotujemo na naša že objavljena neobvezujoča mnenja ter na naše smernice, ki smo jih napisali ravno na temo uporabe GPS sledilnih naprav. Opozarjamo pa, da je v primeru namestitve naprave v zasebno vozilo v lasti delavca nujna izvedba ocene učinka in tehtanje kdaj in v katerih konkretnih izjemnih primerih je to sploh dopustno. Poseg v zasebnost je namreč večji, kot če gre za namestitev GPS naprave v službeno vozilo v lasti delodajalca:

·                    Sledenje službenim vozilom, št. 07121-1/2021/2123 z dne 22. 10. 2021: https://www.ip-rs.si/mnenja-gdpr/sledenje-slu%C5%BEbenim-vozilom-1635144475

·                    Uvedba GPS, št. 0712-1/2019/556 z dne 10. 3. 2019: https://www.ip-rs.si/mnenja-gdpr/60489fb8ee4e9

·                    smernice IP glede uporabe GPS sledilnih naprav v zvezi z varstvom osebnih podatkov (predvsem za vas relevantne strani 11-13): https://www.ip-rs.si/publikacije/priročniki-in-smernice/smernice-po-splošni-uredbi-o-varstvu-podatkov-gdpr/uporaba-gps-sledilnih-naprav-in-varstvo-osebnih-podatkov

IP skladno z našimi stališči iz mnenj in smernic meni, da namestitev sledilne GPS naprave v zasebni avtomobil delavca načeloma ni dopusta, razen, če bi glede na konkretne izjemne situacije z oceno učinkov in ob ustrezni tehnični rešitvi (npr. da se namesti zgolj za namen službene vožnje ne pa tudi za vse ostale vožnje) upravljavec zagotovil ustrezno pravno podlago in predvidel ter izvedel vse ustrezne varovalke, kjer bi tudi test tehtanja posega v zasebnost pokazal, da bi bila takšna rešitev dopusta in utemeljena. Pri tem pa še poudarjamo, da je bistvena razlika med namestitvijo GPS naprave v službena vozila in vozila v zasebni lasti; z drugimi besedami med vozili v lasti podjetja (in zgolj morda deloma tudi v zasebni uporabi) ter vozili v izključni lasti fizične osebe – delavca.

Glede na izpostavljena mnenja in smernice poudarjamo, da mora vsak upravljavec (v vašem primeru delodajalec) za kakršnokoli obdelavo osebnih podatkov zagotoviti ustrezno in zakonito pravno podlago. Glede na opisano situacijo bi najverjetneje v vašem primeru prišle v poštev zlasti naslednje pravne podlage, in sicer: (i) obdelava osebnih podatkov na podlagi zakona ali (ii) obdelava osebnih podatkov na podlagi privolitve (ta je v primeru razmerja delodajalec-delavec veljavna zgolj, če je resnično prostovoljna in jo lahko delavec brez posledic za delovno razmerje kadarkoli zavrne in prekliče) ali (iii) obdelava osebnih podatkov, ki je potrebna zaradi zakonitih interesov upravljavca (ki pa ne smejo prevladati nad pravicami in svoboščinami posameznika katerega osebni podatki se obdelujejo).

Področni zakon, ki bi praviloma lahko v odnosu delavec-delodajalec predstavljal podlago za tovrstno obdelavo je Zakon o delovnih razmerjih[1] (v nadaljevanju: ZDR-1). Ta v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Osebni podatki delavcev, za zbiranje katerih ne obstaja več zakonska podlaga, se morajo takoj izbrisati in prenehati uporabljati.

Glede na to, da tehnologija GPS sodi med najbolj uveljavljene tehnologije za pozicioniranje, sledenje in nadzor oseb, predmetov in vozil pa je toliko bolj pomembno, da kljub zagotovitvi ustrezne pravne podlage, vsak upravljavec poskrbi tudi za dosledno upoštevanje vseh obveznosti, ki jih ima ob uvedbi take tehnologije in obdelavi osebnih podatkov, ki sledi iz nje. V zvezi s tem mora upravljavec poskrbeti za:

1.       tehtanje o dopustnosti in utemeljenosti uvedbe take tehnologije z vidika načela sorazmernosti (uvesti tak ukrep le takrat, kadar istega namena ni možno doseči z milejšimi sredstvi oz. le takrat, kadar je to nujno z vidika legitimnih ciljev upravljavca in morda tudi delavca (npr. zagotavljanje varnosti));

2.       za ustrezno (vnaprej) informiranje in seznanitvijo posameznikov o delovanju GPS sistema in s tem povezani obdelavi osebjih podatkov (13. člen Splošne uredbe) in sicer z opredelitvijo delovanja, postopkov, zbranih podatkov, namenov, upravljavca in rokov hrambe (npr. v internih aktih);

3.       da se sistem sledenja vklopi zgolj takrat, ko je to nujno potrebno (torej brez stalnega in na splošno določenega sledenja; še posebej pa ne sledenja v zasebnem času zaposlenega; 25. člen Splošne uredbe v povezavi z načeli najmanjšega obsega in sorazmernosti);

4.       da osebne podatke zaposlenih ne obdeluje (dodatno) za nikakršen drug namen kot za tistega, s katerim je bil takšen ukrep prvotno vzpostavljen (načelo omejitve namena iz 5. člena Splošne uredbe);

5.       za vse organizacijske in tehnične ukrepe, da zagotovi ustrezno zavarovanje zbirke osebnih podatkov, ki nastane na podlagi uporabe GPS sledenja (32. člen Splošne uredbe in 24. ter 25. člen ZVOP-1).

Glede na stališče IP s Smernic o izvedbi ocene učinkov na varstvo podatkov (glej prilogo 3 na strani 41), bi sistematičen nadzor nad geolokacijo zaposlenega, še posebej, če gre za GPS sledenje zasebnemu vozilu v lasti zaposlenega, na katerega zaposleni nima vpliva, z vidika nesorazmerja moči in inovativne uporabe obstoječih tehnologij, predstavljal takšen namen za katerega velja zahteva ob obvezni izvedbi ocene učinka v zvezi z varstvom osebnih podatkov.

Vsekakor pa ima vsak posameznik tudi možnost, v kolikor meni, da so mu bile kršene pravice v zvezi z varstvom osebnih podatkov, da pri IP vloži prijavo v zvezi z domnevno kršitvijo. Več o vložitvi prijave pa si lahko preberete tudi na spletni strani https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/vlozitev-prijave.

V upanju, da ste dobili odgovor na vaše vprašanje, vas lepo pozdravljamo.

Pripravil:                                                                                                                                  

Grega Rudolf,

asistent svetovalca pri IP          

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka

[1] Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE, 119/21 – ZČmIS-A, 202/21 – odl. US, 15/22 in 54/22 – ZUPŠ-1